Prinášame Vám slovemské znenie vyhlásenia Európskeho výboru pre ochranu osobných údajov v oblasti ochrany osobných úradov spojených so zásahom do práv občanov a organizácií garantovaných Európskym dohovorom o ľudských právach, Chartou základných práv EÚ, Ústavou SR, predpismi EÚ i SR, ktoré sú dôsledkom niektorých krízových opatrení prijímaných členskými štátmi EÚ v osobitných režimoch riadenia štátu (ako je napríklad na Slovensku “núdzový stav”) v súvislosti s riešením hrozby a dopadov pandémie vírusu COVID-19.
Test primeranosti a nevyhnutnosti pri zásahu do práva na ochranu osobných údajov z dôvodu verejného záujmu na ochrane inej hodnoty či práva je potrebné vykonať za každých okolností a v každom režime riadenia štátu. Tento test musia vykonávať tí, ktorí zvažujú, pripravujú a schvaľujú prijatie reštriktívnych opatrení a nesú za ne aj zodpovednosť - nielen politickú, ale i právnu.
Lebo skôr či neskôr tento test (uplatňovania výkonnej moci) v krízovej situácii na základe návrhov osôb a organizácií, ktorých práv sa tieto opatrenia podstatne dotkli, vykonajú nestranné a nezávislé súdy (orgány súdnej moci).
Osobná zodpovednosť štátnych funkcionárov a úradníkov (štátnych zamestnancov) za prípadné nedostatky výsledku testu primeranosti a nevyhnutnosti je najmä v politickej rovine, respektíve u štátnych zamestnancov je obmedzená do výšky štyroch platov (§ 166 ods. 2 zákona č. 55/2017 Z.z.), ak teda nepôjde o úmyselné protiprávne konanie, čo prepokladáme, veríme, že ostane len v rovine teoretických úvah.
Ak postup a rozhodnutia štátnych orgánov pri zásahu do ochrany osobných údajov pri teste primeranosti a nevyhnutnosti neobstoja, zodpovednosť štátu s dopadmi na štátny rozpočet, a teda na prostriedky nás všetkých, je daná v podstate objektívne za každých okolností (čl. 46 ods. 3 Ústavy SR). Bez ohľadu na to, či tento test bude súdmi vykonaný ešte v tomto alebo až v nasledujúcom volebnom období - za tejto alebo až za budúcej vlády.
„Problém s týmto svetom je ten, že inteligentní ľudia sú plní pochybností,
zatiaľ čo tí hlúpi sú sebaistí.“
(Charles Bukowski)
„Inteligentní ľudia sa snažia problémy riešiť, geniálni sa ich snažia nerobiť.“
(Albert Einstein)
Link na oficiálnu stránku Európskeho výboru pre ochranu údajov (“European Data Protection Board”; skratka "EDPB"), na ktorej je publikované vyhlásenie EDPB z 2. júna 2020 s voľbou jazykovej verzie vyhlásenia nájdete - TU
Link na slovenské znenie vyhlásenia EDPB z 2. júna 2020.
Link na nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1 – 88) tzv. nariadenie GDPR
Vyhlásenie
Vyhlásenie o obmedzeniach práv dotknutej osoby
v súvislosti so stavom núdze1) v členských štátoch
prijaté 2. júna 2020
Európsky výbor pre ochranu údajov prijal toto vyhlásenie:
1. EDPB bol oboznámený s tým, že maďarská vláda prijala dekrét č. 179/2020 zo 4. mája 2020 o výnimkách z určitých ustanovení o ochrane údajov a o prístupe k informáciám počas stavu ohrozenia.2) V článku 1 tohto dekrétu sa stanovuje, že s ohľadom na spracúvanie osobných údajov na účely prevencie, pochopenia a odhaľovania ochorenia spôsobeného koronavírusom a zamedzenia jeho ďalšiemu šíreniu vrátane organizácie koordinovanej činnosti štátnych orgánov vo vzťahu k nemu, sa všetky opatrenia nasledujúce po žiadosti dotknutej osoby o uplatnenie práv podľa článkov 15 až 22 všeobecného nariadenia o ochrane údajov pozastavujú do ukončenia stavu ohrozenia vyhláseného dekrétom č. 40/2020 3) a dňom začatia uplatňovania týchto opatrení bude deň nasledujúci po ukončení stavu ohrozenia. Článok 5 dekrétu č. 179/2020 stanovuje, že sa takéto pozastavenie vzťahuje aj na všetky žiadosti o uplatnenie uvedených práv dotknutej osoby, ktoré boli nevybavené už k dátumu nadobudnutia účinnosti dekrétu. Dotknutá osoba musí byť bezodkladne upovedomená o tomto obmedzení po ukončení stavu ohrozenia, a to najneskôr do deväťdesiatich dní od doručenia žiadosti.
2. Ako už uviedol EDPB, ochrana údajov nebráni boju proti pandémii ochorenia COVID-19. Všeobecné nariadenie o ochrane údajov ostáva v platnosti a umožňuje účinne reagovať na pandémiu a súčasne chrániť základné práva a slobody. Právne predpisy o ochrane údajov vrátane príslušných platných vnútroštátnych právnych predpisov už teraz umožňujú spracovateľské operácie potrebné na lepší boj proti šíreniu pandémie, takou pandémiou je aj ochorenie COVID-19.
3. V článku 23 všeobecného nariadenia o ochrane údajov sa vnútroštátnemu zákonodarcovi za určitých podmienok umožňuje, aby legislatívnym opatrením obmedzil rozsah povinností a práv stanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 12 až 22, ak sa takýmto obmedzením rešpektuje podstata základných práv a slobôd, a ide o nevyhnutné a primerané opatrenie na zaistenie toho, aby sa v demokratickej spoločnosti okrem iného ochránili dôležité ciele všeobecného verejného záujmu Únie alebo členského štátu, najmä v oblasti verejného zdravia.
4. EDPB pripomína, že dokonca aj v týchto výnimočných časoch sa musia osobné údaje chrániť vo všetkých núdzových opatreniach vrátane obmedzení prijatých na vnútroštátnej úrovni, a to podľa článku 23 všeobecného nariadenia o ochrane údajov, čím sa prispeje k dodržiavaniu zastrešujúcich demokratických hodnôt, zásad právneho štátu a základných práv, na ktorých je založená Únia: každé opatrenie prijaté členskými štátmi musí byť na jednej strane v súlade so všeobecnými právnymi zásadami, podstatou základných práv a slobôd a musí byť nezvratné, pričom prevádzkovatelia a sprostredkovatelia musia na druhej strane aj naďalej dodržiavať pravidlá ochrany údajov.
5. V každom opatrení sa musí rešpektovať podstata práva, ktoré sa obmedzuje. Obmedzenia, ktoré sú všeobecné, rozsiahle alebo rušivé do takého rozsahu, že sa nimi ruší podstata základného práva, nemôžu byť odôvodnené. Ak je ohrozená podstata práva, obmedzenie sa musí považovať za nezákonné, pričom nie je potrebné ďalej posudzovať, či slúži cieľu všeobecného záujmu alebo spĺňa kritériá nevyhnutnosti a proporcionality.
6. Spracúvanie osobných údajov musí byť navrhnuté tak, aby slúžilo ľudstvu, a jedným z hlavných cieľov právnych predpisov o ochrane údajov v tejto súvislosti je zlepšiť kontrolu dotknutej osoby nad jej údajmi.
7. V záujme zaistenia tejto kontroly, dotknuté osoby majú v rámci práva na ochranu údajov niekoľko práv. Právo na prístup a právo na opravu sú zakotvené v článku 8 Charty základných práv Európskej únie (ďalej len „Charta“). Všeobecné nariadenie o ochrane osobných údajov obsahuje tieto práva a dopĺňa ich o niekoľko ďalších práv, ako je právo namietať, právo na vymazanie a ďalšie nové práva, ako je právo na prenosnosť údajov. Význam práv dotknutých osôb nemožno podceňovať. Sú ústredným prvkom základného práva na ochranu údajov a ich uplatňovanie by malo byť všeobecným pravidlom. Článok 23 všeobecného nariadenia o ochrane údajov treba chápať a vykladať v tomto kontexte.
8. Podľa článku 52 ods. 1 Charty musí byť akékoľvek obmedzenie výkonu práv a slobôd uznaných v Charte „ustanovené zákonom“. Korešponduje to s výrazom „v súlade so zákonom“ uvedeným v článku 8 ods. 2 Európskeho dohovoru o ľudských právach,4) čo neznamená len súlad s vnútroštátnymi právnymi predpismi, ale súvisí to aj s kvalitou zákona, v ktorom sa vyžaduje súlad so zásadami právneho štátu. Ide najmä o to, aby boli pojmy vnútroštátnych právnych predpisov dostatočne jasné na to, aby dali občanom náležitým spôsobom najavo, za akých okolností a podmienok sú prevádzkovatelia oprávnení uchýliť sa k akýmkoľvek obmedzeniam. Rovnako prísny štandard by sa mal vzťahovať na akékoľvek obmedzenia, ktoré môžu uložiť členské štáty.
9. V súlade so všeobecným nariadením o ochrane údajov a judikatúrou Súdneho dvora Európskej únie a Európskeho súdu pre ľudské práva je skutočne nevyhnutné, aby legislatívne opatrenia,5) ktorých cieľom je obmedziť rozsah práv dotknutej osoby, boli pre osoby, na ktoré sa vzťahujú, predvídateľné, a to sa týka aj obdobia ich platnosti. V tejto súvislosti, najmä vtedy, keď sa prijímajú obmedzenia v súvislosti s výnimočným stavom v záujme ochrany verejného zdravia, sa EDPB domnieva, že obmedzenia, prijaté na obdobie, ktoré nie je presne časovo vymedzené, ktoré sa uplatňujú retroaktívne alebo podliehajú neurčitým podmienkam, nie sú v súlade s kritériom predvídateľnosti.
10. Obmedzenia sú navyše výnimkami zo všeobecného pravidla a ako také by sa mali uplatňovať len za obmedzených okolností. Ako sa stanovuje v článku 23 všeobecného nariadenia o ochrane údajov obmedzenia musia byť nevyhnutným a primeraným opatrením v demokratickej spoločnosti, a ktorých cieľom je zaistiť dôležitý cieľ všeobecného verejného záujmu Únie alebo členského štátu, ako je verejné zdravie.
11. Predpokladané obmedzenia musia skutočne spĺňať dôležitý cieľ verejného záujmu Únie alebo členského štátu, ktorý sa má ochrániť, pričom v prípade súčasného výnimočného stavu v niektorých členských štátoch ide o verejné zdravie. Táto súvislosť medzi stanovenými obmedzeniami a sledovaným cieľom musí byť jasne stanovená a preukázaná. Samotná existencia pandémie alebo akejkoľvek inej núdzovej situácie nie je postačujúcim dôvodom na akékoľvek obmedzenie práv dotknutej osoby; ide skôr o to, že akékoľvek obmedzenie musí jasne prispievať k zabezpečeniu dôležitého cieľa verejného záujmu Únie alebo členského štátu.
12. Okrem toho treba zdôrazniť, že z hľadiska judikatúry Súdneho dvora Európskej únie sa všetky obmedzenia práv dotknutej osoby majú uplatňovať, len pokiaľ je to vyslovene nevyhnutné a primerané na zaistenie daného cieľa v oblasti verejného zdravia.6) Výnimočný stav prijatý v súvislosti s pandémiou je právna podmienka, ktorá môže legitimizovať obmedzenia práv dotknutej osoby, pokiaľ tieto obmedzenia neprekračujú hranice toho, čo je nevyhnutné a primerané na zaistenie cieľa v oblasti verejného zdravia.
13. Pokiaľ teda obmedzenia prispievajú k zaisteniu verejného zdravia počas výnimočného stavu, EDPB sa domnieva, že napriek tomu musia byť prísne obmedzené rozsahovo (napr. pokiaľ ide o práva dotknutej osoby alebo kategórie príslušných prevádzkovateľov) a časovo. Konkrétne musia byť obmedzené na obdobie výnimočného stavu. Dotknutej osobe možno práva obmedziť, nie však odoprieť.
14. Záruky stanovené v článku 23 ods. 2 všeobecného nariadenia o ochrane údajov sa okrem toho musia uplatňovať v plnom rozsahu, najmä vtedy, keď ide o potrebu mať osobitné ustanovenia týkajúce sa účelov spracúvania, kategórií osobných údajov, rozsahu obmedzení, záruk zabraňujúcich zneužitiu údajov alebo nezákonnému prístupu či prenosu, určenia prevádzkovateľa alebo kategórií príslušných prevádzkovateľov či rizík pre práva a slobody dotknutých osôb.
15. EDPB zastáva názor, že obmedzenia prijaté v súvislosti s výnimočným stavom, ktorými sa pozastavuje alebo odkladá uplatňovanie práv dotknutej osoby a povinností zo strany prevádzkovateľov a sprostredkovateľov bez jasného časového obmedzenia, sa de facto rovnajú plošnémuu pozastaveniu týchto práv a boli by nezlučiteľné s podstatou základných práv a slobôd. Navyše, vybavenie žiadosti o uplatnenie práv dotknutej osoby, napríklad v súvislosti s právom namietať na základe článku 21 všeobecného nariadenia o ochrane údajov, toto právo sa musí spracovať včasne, na to aby bolo zmysluplné a účinné. Odklad alebo pozastavenie spracovania žiadostí dotknutej osoby zo strany prevádzkovateľa (bez akéhokoľvek časového obmedzenia) by preto v tejto súvislosti predstavovalo úplnú prekážku v uplatňovaní samotných práv.
16. V súlade s článkom 57 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov by vnútroštátne orgány plánujúce obmedzenia podľa článku 23 všeobecného nariadenia o ochrane údajov mali včas požiadať o konzultáciu vnútroštátny dozorný orgán, A tieto by mali byť splnomocnený na monitorovanie uplatňovania takýchto obmedzení. EDPB podporuje úsilie vnútroštátnych dozorných orgánov o zabezpečenie toho, aby sa obmedzenia základného práva vzťahujúce sa na ochranu osobných údajov s cieľom ochrániť verejné zdravie v súvislosti s bojom proti pandémii stanovené vo vnútroštátnych legislatívnych opatreniach uplatňovali, len pokiaľ sú prísne nevyhnutné a primerané na zabezpečenia tohto cieľa.
17. EDPB pripomína, že Európska komisia je ako strážkyňa zmlúv povinná monitorovať uplatňovanie primárneho a sekundárneho práva EÚ a zabezpečiť jeho jednotné uplatňovanie v celej EÚ vrátane uskutočnenia krokov v oblastiach, v ktorých by vnútroštátne opatrenia neboli v súlade s právom EÚ. EDPB zostáva naďalej k dispozícii na účely poskytovania poradenstva Európskej komisii, ak to bude potrebné, v súlade s článkom 70 všeobecného nariadenia o ochrane údajov.
18. EDPB vydá v ďalších mesiacoch komplexnejšie usmernenia týkajúce sa vykonávania článku 23 všeobecného nariadenia o ochrane údajov.
Za Európsky výbor pre ochranu údajov
predsedníčka
(Andrea Jelinek)
Poznámky pod čiarou:
1) Výrazom „výnimočný stav“ sa na účely tohto vyhlásenia rozumie akýkoľvek mimoriadny stav prijatý na vnútroštátnej úrovni v záujme boja proti pandémii, a to nezávisle od jeho konkrétneho názvu vo vnútroštátnom práve.
2) Dekrét č. 179/2020 (V. 4.) Korm. rendelet a veszélyhelyzet idején az egyes adatvédelmi és adatigénylési rendelkezésektől való eltérésről (https://net.jogtar.hu/jogszabaly?docid=a2000179.kor).
3) Táto informácia vychádza z informácií od maďarského dozorného orgánu, od mimovládnych organizácií a z verejne dostupných zdrojov. V dekréte č. 40/2020 sa v súvislosti so stavom ohrozenia neuvádza žiadna lehota.
4) Pozri najmä rozsudok ESĽP zo 14. septembra 2010, Sanoma Uitgevers B.V./Holandsko, EC:ECHR:2010:0914JUD003822403, bod 83: „Pokiaľ ide ďalej o výrazy „v súlade so zákonom“ a „ustanovené zákonom“ uvedenými v článkoch 8 až 11 dohovoru, súd podotýka, že výraz „právo“ sa vždy chápal v jeho „materiálnom“, nie „formálnom“ zmysle, ktorý zahŕňa jednak „písané právo!, ktoré obsahuje tak podzákonné predpisy, ako aj vykonávacie predpisy prijaté stavovskou komorou na základe právomoci prenesenej na ňu zákonodarcom v rámci jej nezávislej normotvornej právomoci, ako aj „nepísané právo“. „Zákon“ treba chápať tak, že zahŕňa tak písaný text, ako aj „právo tvorené súdmi“. Stručne povedané, „zákon“ je platné ustanovenie tak, ako ho vykladajú príslušné súdy.“ Čo sa týka pojmu „ustanovené zákonom“, kritériá, ktoré vytvoril Európsky súd pre ľudské práva, sa majú používať tak, ako sa to navrhuje v návrhoch generálnych advokátov SDEÚ v spojených veciach C-203/15 a C-698/15, Tele2 Sverige AB, ECLI:EU:C:2016:572, body137 – 154 alebo vo veci C- 70/10, Scarlet Extended, ECLI:EU:C:2011:255, bod 99.
5) Odôvodnenie 41 všeobecného nariadenia o ochrane údajov: „Keď sa v tomto nariadení odkazuje na právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom, bez toho, aby boli dotknuté požiadavky vyplývajúce z ústavného poriadku dotknutého členského štátu. Takýto právny základ alebo legislatívne opatrenie by však mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora Európskej únie (ďalej len ‚Súdny dvor‘) a Európskeho súdu pre ľudské práva.“
6) Pozri v súvislosti so smernicou 95/46/EHS napríklad vec SD EÚ zo 14. februára 2019, C-345/17 (Buivids), bod 64.
