Valstybinė duomenų apsaugos inspekcija (VDAI) pripažįsta, kad daugelis viruso plitimo prognozavimo ir stabdymo efektyvių priemonių gali būti susiję su skirtingų rūšių asmens duomenų tvarkymu bei poreikiu jais dalintis tarp sveikatos priežiūros įstaigų ir koordinuojančių institucijų, bei su visuomene. Asmens duomenų apsaugos taisyklės, tokios kaip BDAR, netrukdo imtis priemonių kovoti su COVID-19 pandemija. Tačiau visos priemonės, kurių imamasi tokiu atveju, turi atitikti bendruosius teisės principus, būti proporcingos ir neturėtų būti negrįžtamos.
Bendrieji asmens duomenų apsaugos principai
VDAI primena, kad:
– turėtų būti tvarkomi tik asmens duomenys būtini siekiamam tikslui pasiekti, o jų tvarkymo tikslas turi būti konkretus ir nedviprasmiškas, kad jį vienodai suprastų visos suinteresuotos šalys, ypač duomenų subjektai;
– siekiant užtikrinti, kad asmens duomenys nebūtų atskleisti asmenims, kurie neturi teisės jų gauti, svarbu laikytis tinkamų saugumo priemonių. Tik darbuotojai, kuriems patikėta tvarkyti sveikatos duomenis ir kompetentingos institucijos turi turėti prieigą prie tokių duomenų;
– užtikrinant skaidrų asmens duomenų tvarkymą priemonės, kurių imamasi siekiant valdyti susidariusią padėtį, ir sprendimų priėmimo procesas turėtų būti dokumentuojami, laikantis atskaitomybės principo.
Galimų tvarkyti asmens duomenų rūšys ir duomenų teikimas
Pasak VDAI, galima tvarkyti vidinius asmens duomenų rinkinius apie darbuotojus, mokinius ar pan., įtraukiant tokią informaciją:
- ar asmuo buvo išvykęs į „rizikos valstybę“;
- ar asmuo kontaktavo su asmeniu, išvykusiu į „rizikos valstybę“, ar sergančiu COVID-19;
- ar asmuo yra namuose dėl karantino (nenurodant priežasties) ir karantino laikotarpis;
- ar asmuo serga (nenurodant konkrečios ligos ar kitokios priežasties).
Darbdavys ar kitas duomenų valdytojas turi teisę teirautis savo darbuotojų ar lankytojų apie tai, ar jiems yra pasireiškusių COVID-19 viruso simptomų, ar yra nustatyta COVID-19 diagnozė. Tai nereiškia, kad darbdaviai ar kiti duomenų valdytojai gali gautą informaciją dokumentuoti ar sudaryti atitinkamas duomenų rinkmenas. Darbdaviai taip pat gali tvarkyti tokius su darbuotoju susijusius asmens duomenis kaip darbo nuotoliniu būdu pasirinkimo faktas ir kiti darbuotojo darbui taikomi apribojimai.
VDAI teigia, kad bet kokie darbdavių ar kitų duomenų valdytojų tvarkomi asmens duomenys valstybės institucijoms visuomenės sveikatos užtikrinimo tikslu turi būti teikiami laikantis BDAR reikalavimų. Prašymai pateikti asmens duomenis turi būti vertinami kiekvienu konkrečiu atveju atskirai, neturėtų būti teikiami konkretų duomenų subjektą identifikuojantys duomenys.
Duomenų tvarkymo pagrindai
Pasak VDAI, BDAR leidžia kompetentingoms visuomenės sveikatos priežiūros institucijoms tvarkyti asmens duomenis epidemijos atveju be duomenų subjekto sutikimo. Asmens duomenų, įskaitant sveikatos duomenis, tvarkymas, kurį vykdo kompetentingos valdžios institucijos (visuomenės sveikatos priežiūros institucijos) ar kitos institucijos, veikiančios pagal visuomenės sveikatos priežiūros institucijų nurodymus, gali būti atliekamas remiantis BDAR 6 straipsnio 1 dalies c, d ir e punktais ir (ar) 9 straipsnio 2 dalies c (išimtiniais atvejais), g bei i punktais.
Vietos nustatymo duomenų tvarkymas
VDAI teigia, kad vietos nustatymo duomenys turėtų būti tvarkomi pagal LR elektroninių ryšių įstatyme (ERĮ) nustatytus reikalavimus:
- paprastai tvarkomi tik anonimiški vietos nustatymo duomenys (iš jų nėra galima iš naujo nustatyti asmenų tapatybės) arba gavus asmens sutikimą (ERĮ 61 ir 68 straipsniai). Anoniminiai duomenys gali būti naudojami ataskaitoms apie mobiliųjų įrenginių koncentraciją tam tikroje vietoje („kartografija“);
- 2002-07-12 Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių), kurios nuostatas įgyvendina ERĮ, papildomai leidžia ES valstybėms narėms patvirtinti teisines priemones, kuriomis siekiama apsaugoti visuomenės saugumą, jeigu tai demokratinėje visuomenėje yra būtinos, tinkamos ir proporcingos priemonės. Jos turi atitikti ES pagrindinių teisių chartiją ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvenciją bei Europos Sąjungos Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką. Jei tokios priemonės įvedamos, valstybė narė privalo nustatyti tinkamas apsaugos priemones, įskaitant galimybę asmeniui kreiptis į teismą dėl tokio duomenų tvarkymo.
Valstybės institucijų siunčiami pranešimai nėra tiesioginė rinkodara
Anot VDAI, informacinių pranešimų ir priminimų apie galimas grėsmes, vengtinas zonas, būtinas apsaugos priemones ar kitus būtinus atlikti veiksmus siuntimas išvykusiems į užsienio valstybes, grįžtantiems ar neseniai grįžusiems ar kitiems asmenims, taip pat svarbių susijusių informacinių pranešimų siuntimas Lietuvos gyventojams ar joje besilankantiems asmenims nėra laikytinas tiesiogine rinkodara.
Neleistini rinkti asmens duomenys
Jei yra nustatytos visuotinės priemonės esamai situacijai valdyti, pavyzdžiui, komandiruočių ir susitikimų ribojimas, renginių atšaukimas, tam tikrų higienos reikalavimų užtikrinimas, duomenų valdytojai neturėtų dėl to pažeisti savo darbuotojų ar kitų duomenų subjektų teisės į asmens duomenų apsaugą, pavyzdžiui, neturėtų reikalauti pateikti asmens duomenis, nebūtinus nustatytos tvarkos vykdymui užtikrinti. Duomenų valdytojai turėtų susilaikyti nuo darbuotojų ar lankytojų temperatūros rodmenų, medicininių pažymų ar kt. rinkimo. Tai negali būti laikoma darbdavio pareiga. Duomenų valdytojas turėtų imtis aktyvių veiksmų, informuojant duomenų subjektus apie simptomus, galimas rizikas, jų valdymo būdus, taikytinas priemones, galimybes dirbti nuotoliniu būdu, darbuotojų pareigą informuoti apie pasireiškusius COVID-19 ar panašius simptomus ir kt.
Valstybinė duomenų apsaugos inspekcija (VDAI) pripažįsta, kad daugelis viruso plitimo prognozavimo ir stabdymo efektyvių priemonių gali būti susiję su skirtingų rūšių asmens duomenų tvarkymu bei poreikiu jais dalintis tarp sveikatos priežiūros įstaigų ir koordinuojančių institucijų, bei su visuomene. Asmens duomenų apsaugos taisyklės, tokios kaip BDAR, netrukdo imtis priemonių kovoti su COVID-19 pandemija. Tačiau visos priemonės, kurių imamasi tokiu atveju, turi atitikti bendruosius teisės principus, būti proporcingos ir neturėtų būti negrįžtamos.
Bendrieji asmens duomenų apsaugos principai
VDAI primena, kad:
– turėtų būti tvarkomi tik asmens duomenys būtini siekiamam tikslui pasiekti, o jų tvarkymo tikslas turi būti konkretus ir nedviprasmiškas, kad jį vienodai suprastų visos suinteresuotos šalys, ypač duomenų subjektai;
– siekiant užtikrinti, kad asmens duomenys nebūtų atskleisti asmenims, kurie neturi teisės jų gauti, svarbu laikytis tinkamų saugumo priemonių. Tik darbuotojai, kuriems patikėta tvarkyti sveikatos duomenis ir kompetentingos institucijos turi turėti prieigą prie tokių duomenų;
– užtikrinant skaidrų asmens duomenų tvarkymą priemonės, kurių imamasi siekiant valdyti susidariusią padėtį, ir sprendimų priėmimo procesas turėtų būti dokumentuojami, laikantis atskaitomybės principo.
Galimų tvarkyti asmens duomenų rūšys ir duomenų teikimas
Pasak VDAI, galima tvarkyti vidinius asmens duomenų rinkinius apie darbuotojus, mokinius ar pan., įtraukiant tokią informaciją:
- ar asmuo buvo išvykęs į „rizikos valstybę“;
- ar asmuo kontaktavo su asmeniu, išvykusiu į „rizikos valstybę“, ar sergančiu COVID-19;
- ar asmuo yra namuose dėl karantino (nenurodant priežasties) ir karantino laikotarpis;
- ar asmuo serga (nenurodant konkrečios ligos ar kitokios priežasties).
Darbdavys ar kitas duomenų valdytojas turi teisę teirautis savo darbuotojų ar lankytojų apie tai, ar jiems yra pasireiškusių COVID-19 viruso simptomų, ar yra nustatyta COVID-19 diagnozė. Tai nereiškia, kad darbdaviai ar kiti duomenų valdytojai gali gautą informaciją dokumentuoti ar sudaryti atitinkamas duomenų rinkmenas. Darbdaviai taip pat gali tvarkyti tokius su darbuotoju susijusius asmens duomenis kaip darbo nuotoliniu būdu pasirinkimo faktas ir kiti darbuotojo darbui taikomi apribojimai.
VDAI teigia, kad bet kokie darbdavių ar kitų duomenų valdytojų tvarkomi asmens duomenys valstybės institucijoms visuomenės sveikatos užtikrinimo tikslu turi būti teikiami laikantis BDAR reikalavimų. Prašymai pateikti asmens duomenis turi būti vertinami kiekvienu konkrečiu atveju atskirai, neturėtų būti teikiami konkretų duomenų subjektą identifikuojantys duomenys.
Duomenų tvarkymo pagrindai
Pasak VDAI, BDAR leidžia kompetentingoms visuomenės sveikatos priežiūros institucijoms tvarkyti asmens duomenis epidemijos atveju be duomenų subjekto sutikimo. Asmens duomenų, įskaitant sveikatos duomenis, tvarkymas, kurį vykdo kompetentingos valdžios institucijos (visuomenės sveikatos priežiūros institucijos) ar kitos institucijos, veikiančios pagal visuomenės sveikatos priežiūros institucijų nurodymus, gali būti atliekamas remiantis BDAR 6 straipsnio 1 dalies c, d ir e punktais ir (ar) 9 straipsnio 2 dalies c (išimtiniais atvejais), g bei i punktais.
Vietos nustatymo duomenų tvarkymas
VDAI teigia, kad vietos nustatymo duomenys turėtų būti tvarkomi pagal LR elektroninių ryšių įstatyme (ERĮ) nustatytus reikalavimus:
- paprastai tvarkomi tik anonimiški vietos nustatymo duomenys (iš jų nėra galima iš naujo nustatyti asmenų tapatybės) arba gavus asmens sutikimą (ERĮ 61 ir 68 straipsniai). Anoniminiai duomenys gali būti naudojami ataskaitoms apie mobiliųjų įrenginių koncentraciją tam tikroje vietoje („kartografija“);
- 2002-07-12 Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių), kurios nuostatas įgyvendina ERĮ, papildomai leidžia ES valstybėms narėms patvirtinti teisines priemones, kuriomis siekiama apsaugoti visuomenės saugumą, jeigu tai demokratinėje visuomenėje yra būtinos, tinkamos ir proporcingos priemonės. Jos turi atitikti ES pagrindinių teisių chartiją ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvenciją bei Europos Sąjungos Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką. Jei tokios priemonės įvedamos, valstybė narė privalo nustatyti tinkamas apsaugos priemones, įskaitant galimybę asmeniui kreiptis į teismą dėl tokio duomenų tvarkymo.
Valstybės institucijų siunčiami pranešimai nėra tiesioginė rinkodara
Anot VDAI, informacinių pranešimų ir priminimų apie galimas grėsmes, vengtinas zonas, būtinas apsaugos priemones ar kitus būtinus atlikti veiksmus siuntimas išvykusiems į užsienio valstybes, grįžtantiems ar neseniai grįžusiems ar kitiems asmenims, taip pat svarbių susijusių informacinių pranešimų siuntimas Lietuvos gyventojams ar joje besilankantiems asmenims nėra laikytinas tiesiogine rinkodara.
Neleistini rinkti asmens duomenys
Jei yra nustatytos visuotinės priemonės esamai situacijai valdyti, pavyzdžiui, komandiruočių ir susitikimų ribojimas, renginių atšaukimas, tam tikrų higienos reikalavimų užtikrinimas, duomenų valdytojai neturėtų dėl to pažeisti savo darbuotojų ar kitų duomenų subjektų teisės į asmens duomenų apsaugą, pavyzdžiui, neturėtų reikalauti pateikti asmens duomenis, nebūtinus nustatytos tvarkos vykdymui užtikrinti. Duomenų valdytojai turėtų susilaikyti nuo darbuotojų ar lankytojų temperatūros rodmenų, medicininių pažymų ar kt. rinkimo. Tai negali būti laikoma darbdavio pareiga. Duomenų valdytojas turėtų imtis aktyvių veiksmų, informuojant duomenų subjektus apie simptomus, galimas rizikas, jų valdymo būdus, taikytinas priemones, galimybes dirbti nuotoliniu būdu, darbuotojų pareigą informuoti apie pasireiškusius COVID-19 ar panašius simptomus ir kt.