Európska komisia: Ochrana osobných údajov a mobilné aplikácie podporujúce boj proti COVID-19

Koncom minulého týždňa (17.04.2020) vydala Európska Komisia (ďalej len „EK“) nezáväzné Usmernenie týkajúce sa určitých mobilných aplikácií podporujúcich boj proti pandémii COVID-19 v súvislosti s ochranou údajov (2020/C 124 I/01) (ďalej len „Usmernenie“), a to s cieľom celoeurópskej harmonizácie ohľadom vlastností a požiadaviek, ktoré by mobilné aplikácie mali spĺňať, aby sa zabezpečil súlad s právnymi predpismi EÚ o ochrane súkromia a osobných údajov.

Podľa slov EK - v závislosti od ich vlastností a rozsahu, v akom ich obyvateľstvo používa, môžu mať mobilné aplikácie významný vplyv na diagnostiku ochorenia COVID-19, jeho liečbu a manažment v nemocničnom prostredí aj mimo neho. Na druhej strane však EK zároveň (bezpochyby racionálne) poukazuje na to, že je zároveň nevyhnutné identifikovať riešenia, ktoré predstavujú čo najmenší zásah do práva na súkromie používateľa (tzn. aby sa mobilné aplikácie pod zámienkou nepoužívali napr. na hromadné sledovanie či iné neoprávnené aktivity).

Usmernenie sa týka len dobrovoľných aplikácií podporujúcich boj proti pandémii COVID-19 (aplikácie stiahnuté, nainštalované a používané na dobrovoľnom základe jednotlivcami) s jednou alebo viacerými z týchto funkcií:

poskytovanie presných informácií o pandémii COVID-19 jednotlivcom,
poskytovanie dotazníkov na posudzovanie svojho zdravotného stavu a usmernení pre jednotlivcov (funkcia overovania príznakov),
upozorňovanie osôb, ktoré boli počas určitej doby v blízkosti nakazenej osoby, s cieľom poskytnúť im informácie o tom, či by mali podstúpiť samokaranténu a kde sa majú nechať otestovať (funkcia sledovania kontaktov a výstrahy),
poskytovanie komunikačného fóra medzi pacientmi a lekármi v prípade samoizolácie osôb alebo v prípade, že sa poskytuje ďalšie poradenstvo pri určovaní diagnózy a liečby (častejšie používanie telemedicíny).

Nižšie zasielame základný prehľad najrelevantnejších požiadaviek/odporúčaní zmienených v Usmernení, ktoré môžu byť významné a prínosné nielen pre verejných či súkromných vývojárov takýchto mobilných aplikácií, ale aj pre ich prevádzkovateľov, či jednotlivcov, ktorí ich využívajú:

EK sa domnieva, že aplikácie by mali byť navrhnuté tak, aby boli prevádzkovateľmi vnútroštátne orgány verejného zdravotníctva (alebo subjekty vykonávajúce úlohy vo verejnom záujme v oblasti zdravia).
Osobné údaje by mali ostať pod kontrolou jednotlivca – za tým účelom EK odporúča naplniť niekoľko podmienok, napr.:
- inštalácia aplikácie zariadeniach by mala byť dobrovoľná a bez akýchkoľvek negatívnych dôsledkov,
- rôzne funkcie aplikácií (napr. poskytovania informácií, overovania príznakov, sledovania kontaktov a varovania) by nemali byť zoskupené, aby jednotlivec mohol poskytnúť súhlas s každou funkciou zvlášť,
- ak sa používajú údaje o blízkosti, mali by sa uchovávať v zariadení danej osoby (ak sa tieto údaje majú poskytnúť orgánom verejného zdravotníctva, malo by sa tak stať, až keď sa potvrdí, že dotknutá osoba je infikovaná vírusom COVID-19, a pod podmienkou, že sa tak táto osoba rozhodne),
- aplikácie by sa mali deaktivovať najneskôr vtedy, keď sa vyhlási, že pandémia je pod kontrolou (deaktivácia by nemala závisieť od toho, či užívateľ aplikácie odinštaluje), a ďalšie.

Právnym základom pre inštaláciu aplikácií a ukladanie informácií na zariadenie používateľa by mal byť zväčša („slobodne daný“, „konkrétny“, „výslovný“, „informovaný“ a „výslovne vyjadrený“) súhlas. Pre spracúvanie vnútroštátnymi orgánmi verejného zdravotníctva by malo však ako právny základ slúžiť plnenie zákonnej povinnosti stanovenej v právnych predpisoch. Spracúvanie údajov orgánmi verejného zdravotníctva na základe právnych predpisov nemení nič na tom, že jednotlivci majú naďalej možnosť rozhodnúť sa medzi nainštalovaním a nenainštalovaním aplikácie, ako aj súhlasiť či nesúhlasiť so zdieľaním svojich údajov s orgánmi verejného zdravotníctva.
Striktné dodržiavanie zásady minimalizácie údajov (tzn. aby sa spracovávali len osobné údaje, ktoré sú vhodné, relevantné a nevyhnutné v závislostí od konkrétnych funkcií mobilnej aplikácie - napr. poskytovanie informácií, overovanie príznakov, funkcia telemedicíny, a pod) a jasné stanovenie účelu spracúvania (takisto v závislosti od konkrétnych funkcií aplikácie).
Od konkrétnych funkcií aplikácie by mal závisieť aj maximálny limit uchovávania, pričom EK v Usmernení uvádza konkrétne odporúčane lehoty (napr. údaje o blízkosti by sa mali odstrániť ihneď po tom, ako prestanú byť potrebné na účely upozorňovania jednotlivcov, údaje týkajúce sa overovania príznakov by orgány verejného zdravotníctva mali vymazať maximálne po jednom mesiaci (inkubačný čas plus bezpečnostná rezerva) alebo po otestovaní osoby s negatívnym výsledkom, a pod.).
EK ďalej stanovuje odporúčané požiadavky/opatrenia na zaistenie bezpečnosti a presnosti spracúvaných osobných údajov.

Celé znenie predmetného Usmernenia je dostupné >>> TU.

JUDr. Peter Fedor,
advokát