Je li GDPR i dalje na snazi?
U bilo kakvim izvanrednim okolnostima zakoni su i dalje na snazi, ako ih se posebnim zakonima i uredbama ne stavi izvan snage. Tako se i Opća uredba o zaštiti podataka (GDPR) i dalje primjenjuje na način kako se dosad primjenjivala. Obrada osobnih podataka trebala bi smatrati zakonitom ako je potrebna za zaštitu interesa koji je neophodan za očuvanje života ispitanika ili druge fizičke osobe. Obrada osobnih podataka na temelju životno važnih interesa druge fizičke osobe u načelu bi se smjela obavljati samo ako se obrada očito ne može temeljiti na drugoj pravnoj osnovi. Neke vrste obrade mogu poslužiti i za važne potrebe javnog interesa i životno važne interese ispitanika kao, na primjer, ako je obrada potrebna u humanitarne svrhe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.
GDPR se ne primjenjuje na pitanja zaštite temeljnih prava i sloboda ili slobodnog protoka osobnih podataka u vezi s djelatnostima koje ne ulaze u područje primjene prava Europske unije, kao što su djelatnosti u vezi s nacionalnom sigurnošću. Također, GDPR se ne primjenjuje na obradu osobnih podataka koju fizičke osobe obavljaju u okviru isključivo osobne ili kućne aktivnosti te stoga nije povezana s profesionalnom ili komercijalnom djelatnošću. U osobne ili kućne aktivnosti može se ubrajati korespondencija i posjedovanje adresa ili društveno umrežavanje te internetske aktivnosti poduzete u kontekstu takvih aktivnosti.
Postupanje nadležnih tijela
Zaštita pojedinaca s obzirom na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i slobodnom kretanju takvih podataka i njihovo sprečavanje, podliježe posebnim zakonima te Direktivi (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP.
U Hrvatskoj se na ovakve epidemijske situacije primjenjuje Zakon o zaštiti pučanstva od zaraznih bolesti na temelju kojeg ministar zdravstva donosi Listu zaraznih bolesti te zakon utvrđuje zarazne bolesti čije sprječavanje i suzbijanje je od interesa za Republiku Hrvatsku. Kada se proglasi epidemija poduzimaju se opće mjere (osiguravanje ispravnosti hrane i vode, dezinfekcija), posebne mjere (prijavljivanje zaraze, informiranje) i sigurnosne mjere (karantene, zabrana putovanja, obveza informiranja). Važno je naglasiti da je svatko dužan poštovati ovaj Zakon te za svaku povredu Zakona Državni inspektorat može na licu mjesta naplatiti novčanu kaznu fizičkoj osobi i pravnoj osobi. Također, ako se osoba ne pridržava izrečenih mjera te širi i prenosi zaraznu bolest može biti kažnjena za kazneno djelo te se takvoj osobi može izreći kazna zatvora u trajanju do 3 godine. Stoga, nadležna tijela imaju ovlasti obrađivati podatke koji su im potrebni za zaštitu od prijetnji javnog sigurnosti te u svrhu istrage kaznenih djela.
Posebne kategorije podataka
Zbog same prirode izvanrednih okolnosti, tijekom posljednjih mjeseci dolazi do pojačane obrade zdravstvenih podataka koji predstavljaju posebnu kategoriju podataka. Primjerice, podaci o temperaturi, simptomima se smatraju posebnom kategorijom podataka. Posebne kategorije podataka, u skladu s čl. 9. GDPR-a se obrađuju samo iznimno, ako je zadovoljen jedan od uvjeta iz navedenog članka. Tek ako postoji pravna osnova za obradu posebnih kategorija podataka, potrebno je razmotriti čl. 6. GDPR-a o zakonitim osnovama za obradu osobnih podataka.
Obrada osobnih podataka radnika
Poslodavci se nalazi trenutačno u dvojakoj situaciji. S jedne strane su obvezi osigurati zaštitu na radu i da bi adekvatno usvojili određene mjere moraju znati zdravstvene podatke radnika, dok s druge strane ne smiju povrijediti pravo na privatnost i zaštitu osobnih podataka radnika.
Čl. 28. Zakona o radu definirane su obveze poslodavca u zaštiti života, zdravlja i ćudoređa radnika te je stavkom 1. navedenog članka propisano da je poslodavac dužan pribaviti i održavati postrojenja, uređaje, opremu, alate, mjesto rada i pristup mjestu rada, te organizirati rad na način koji osigurava zaštitu života i zdravlja radnika, u skladu s posebnim zakonima i drugim propisima i naravi posla koji se obavlja.
Nadalje, čl. 1. st. 2. Zakona o zaštiti na radu propisano je kako je svrha ovoga Zakona sustavno unapređivanje sigurnosti i zaštite zdravlja radnika i osoba na radu, sprječavanje ozljeda na radu, profesionalnih bolesti i bolesti u vezi s radom, dok je čl. 5. st. 1. istaknuto kako su život, zdravlje i očuvanje radne sposobnosti vrednote od posebnog društvenog interesa u Republici Hrvatskoj.
Agencija za zaštitu osobnih podataka je objavila na svojim internetskim stranicama očitovanje kako je u konkretnom slučaju pravni temelj za obradu osobnih podataka moguće pronaći u članku 6. GDPR-a ako je obrada nužna radi poštovanja pravnih obveza voditelja obrade prema Zakonu o radu i Zakonu o zaštiti na radu, te ako obrada osobnih podataka nužna, u skladu s čl. 9. GDPR-a, kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe.
Izjava Europskog odbora za zaštitu podataka
S obzirom da je nekoliko nadzornih tijela za zaštitu osobnih podataka u Europskoj uniji objavilo različite smjernice za obrade osobnih podataka, Europski odbor za zaštitu podataka je 16.3.2020. objavio svoju izjavu prema kojoj ističe da GDPR predviđa ovakve okolnosti te da je osobne podatke potrebno obrađivati proporcionalno svrsi za očuvanje zdravlja ljudi i ključnih interesa te kako bi se poštovale pravne obveze koje postoje u nacionalnim zakonima.
Što se tiče elektroničkih podataka, kao što je slučaj u Italiji da se pojedinci prate na koji način poštuju izrečene mjere, Odbor ističe da je za to područje mjerodavna Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) te da načela obrade takvih podataka nalažu da se lokacijski podaci prate na način da ih pružatelj usluge anonimizira. Ako lokacijski podaci nisu anonimni, potrebna je privola osobe čija se lokacija prati.
U određenim nužnim situacijama države Europske unije mogu, u skladu s čl. 15. Direktive o privatnosti i elektroničkim komunikacijama donijeti zakonske mjere kojima će ograničiti opseg prava i obveza iz Direktive kada takvo ograničenje predstavlja nužnu, prikladnu i razmjernu mjeru unutar demokratskog društva s ciljem zaštite nacionalne sigurnosti (odnosno državne sigurnosti), obrane, javne sigurnosti te s ciljem sprečavanja, istrage, otkrivanja i progona kaznenih djela odnosno neovlaštene uporabe elektroničkog komunikacijskog sustava. Sve mjere moraju biti u skladu s općim načelima prava Europske unije, uključujući ona iz članka 6. st. 1. i 2. Ugovora o Europskoj uniji.
Što nam slijedi?
Postavlja se pitanje hoćemo li uskoro imati tehnološka rješenja i aplikacije za napredno praćenje ljudi, kao što je to bio slučaj u Kini. Važno je istaknuti da je tehnologija neutralna. Na ljudima je odluka kako će usmjeriti određenu tehnologiju. U tehnologiju koju danas koristimo i razvijamo zapravo implementiramo društvene vrijednosti. Europska unija je, kao udruženje država koje se temelji na demokratskim vrijednostima, nakon svjetskih ratova odlučila poraditi na društvenim vrijednostima te sada imamo niz zaštićenih ljudskih prava i sloboda. Iz tog razloga se stav Europske unije u pogledu korištenja tehnologija razlikuje od nekih drugih država u kojima ne postoji demokratski sustav.
Pravo na privatnost i pravo na zaštitu osobnih podataka su temeljena ljudska prava. To znači da nisu apsolutna prava koja čovjek ima pod bilo kojim uvjetima. U praksi to izgleda da praćenje pojedinaca ovisi o riziku koji prijeti. Pa tako praćenje može biti pravna obveza ako neki zakon propisuje da je to nužno, kao što je slučaj kod policijskih istraga i nadzora sigurnosno-obavještajnog sustava. Također, praćenje lokacije može biti mjera od javnog interesa ako država iz određenih razloga smatra nužnim. Praćenje lokacije od privatnih kompanija je, u pravilu dozvoljeno, samo uz privolu pojedinca ili u sklopu pružanja određene usluge, a operatori javnih komunikacijskih mreža i usluga zadržavaju prometne podatke i podatke o lokaciji 12 mjeseci u svrhu zaštite obrane i nacionalne sigurnosti, u skladu sa Zakonom o elektroničkim komunikacijama.
Hitne izmjene zakona
Na sjednici 18.3.2020. Vlada Republike Hrvatske je predložila po hitnom postupku usvajanje Prijedloga Zakona o dopunama Zakona o elektroničkim komunikacijama. Čl. 104. Zakona o elektroničkim komunikacijama određuje se da se "podaci o lokaciji bez prometnih podataka, koji se odnose na pretplatnike ili korisnike javnih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga, mogu obrađivati samo u slučaju kada su učinjeni neimenovanima (anonimnima), ili na temelju prethodne privole pretplatnika ili korisnika usluga, na način i u razdoblju potrebnom za pružanje usluge s posebnom tarifom".
Odredbama članka 104. nisu obuhvaćene situacije obrade podataka koji označavaju zemljopisni položaj terminalne opreme korisnika javno dostupne elektroničke komunikacijske usluge ("podaci o lokaciji") bez prometnih podataka kada ta obrada podataka može pomoći u brzoj i učinkovitoj zaštiti zdravlja i života građana.
Stoga je Vlada predložila da se Zakon o elektroničkim komunikacijama dopuni odredbom članka 104.a, koja bi iznimno dopustila obradu podataka o lokaciji bez prometnih podataka u cilju zaštite nacionalne ili javne sigurnosti, i to u precizno i jasno određenim slučajevima kada je Vlada Republike Hrvatske proglasila prirodnu nepogodu ili katastrofu, ili kada je ministar nadležan za zdravstvo proglasio epidemiju zarazne bolesti ili opasnost od epidemije zarazne bolesti, sve u skladu s posebnim propisima, a pri čemu se zdravlje i životi građana bez obrade tih podataka ne bi mogli učinkovito zaštititi.
U Zakonu o elektroničkim komunikacijama iza članka 104. dodaje se naslov iznad članka i članak 104.a koji glase: Iznimke u obradi podataka o lokaciji bez prometnih podataka: „Iznimno od članka 104. ovoga Zakona, obrada podataka o lokaciji bez prometnih podataka iznimno je dopuštena u cilju zaštite nacionalne i/ili javne sigurnosti, i to u slučajevima kada je Vlada Republike Hrvatske proglasila prirodnu nepogodu ili katastrofu, ili kada je ministar nadležan za zdravstvo proglasio epidemiju zarazne bolesti ili opasnost od epidemije zarazne bolesti, u skladu s posebnim propisima, a pri čemu se zdravlje i životi građana bez obrade tih podataka ne bi mogli učinkovito zaštititi.“
Predviđena dodatna iznimka od opće zabrane obrade podataka o lokaciji bez prometnih podataka ograničena je na usko, jasno i precizno definirane situacije, koje predstoje isključivo u skladu s posebnim propisima. Tako definirana dodatna iznimka u članku 104.a Zakona o elektroničkim komunikacijama udovoljava zahtjevu da ograničenja pojedinih osobnih prava moraju biti propisana normom zakonske razine te da se mogu propisati samo iznimno i ako su ona nužna radi zaštite sloboda i prava drugih ljudi te radi zaštite javnog zdravlja.
Odredba predloženog članka 104.a udovoljava i kriteriju razmjernosti jer se ocjenjuje da je obrada podataka koji označavaju samo zemljopisni položaj terminalne opreme korisnika javno dostupne elektroničke komunikacijske usluge, bez prometnih podataka, dakle bez bilo kojih podataka obrađenih u svrhu prijenosa komunikacije elektroničkom komunikacijskom mrežom, ili u svrhu obračuna i naplate troškova, razmjerna potrebi zaštite zdravlja i života građana, i to isključivo u situacijama kada je ta potreba dosegnula takvu razinu ugroze da je Vlada Republike Hrvatske proglasila prirodnu nepogodu ili katastrofu, ili je ministar nadležan za zdravstvo proglasio epidemiju zarazne bolesti ili opasnost od epidemije zarazne bolesti.
Donošenje izmjena Zakona dio je mjera kojima se nastoji omogućiti žurno i adekvatno postupanje svih nadležnih tijela u novonastalim posebnim okolnostima u vezi s proglašenom epidemijom bolesti COVID-19 i potrebe da se korištenjem navedenih podataka zaštite od neposredne ugroze životi i zdravlje ljudi.
Zaključak
Ono što u određenom trenutku smatramo da ima legitiman cilj i da nam je potrebno u demokratskom društvu, ovisi o okolnostima i riziku koji nam prijeti. Preostaje nam za vidjeti tko i kako će nadalje provoditi obradu osobnih podataka u ovim izvanrednim okolnostima. U svakom slučaju, obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka i pravo na privatnost nisu apsolutna prava; mora ih se razmatrati u vezi s funkcijom u društvu te ih treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti.
Marija Bošković Batarelo, mag. iur.
