Osobitné kategórie údajov: čo sem patrí a aké sú pravidlá

Rýchla odpoveď: Osobitné kategórie údajov sú citlivé druhy údajov uvedené v článku 9 GDPR vrátane zdravotných, genetických a biometrických údajov na jedinečnú identifikáciu. Ich spracúvanie je zakázané, kým neplatí podmienka článku 9 ods. 2. Prevádzkovateľ zároveň potrebuje základ podľa článku 6, primerané záruky a pri rozsiahlom spracúvaní posúdenie vplyvu.

Zhrnutie v myšlienkovej mape

Osobitné kategórie údajov: čo sem patrí a aké sú pravidlá
│
├─ Uzavretý zoznam článku 9
│   ├─ Pôvod, presvedčenie, politika a odbory
│   ├─ Genetika, zdravie a biometrická identifikácia
│   └─ Sexuálny život a sexuálna orientácia
│
├─ Najprv platí zákaz
│   ├─ Zákaz ruší iba podmienka článku 9
│   ├─ Stále treba právny základ podľa článku 6
│   └─ Výslovný súhlas nie je všeobecné povolenie
│
├─ Význam možno odvodiť
│   ├─ Kombinácie môžu odhaliť citlivú informáciu
│   └─ Názov poľa nerozhoduje o kategórii
│
└─ Dodatočné kontroly
    ├─ Zdokumentovať oba právne kroky a záruky
    ├─ Rozsiahle spracúvanie posúdiť v DPIA
    └─ Overiť vnútroštátne limity a článok 10

Článok 9 chráni presne vymedzené údaje

Osobitné kategórie nie sú synonymom pre všetky dôverné alebo nepríjemné informácie. Článok 9 ods. 1 GDPR uvádza uzavretý zoznam. Patria sem údaje odhaľujúce rasový alebo etnický pôvod, politické názory, náboženské či filozofické presvedčenie a členstvo v odboroch. Zoznam zahŕňa aj genetické údaje, biometrické údaje používané na jedinečnú identifikáciu, údaje o zdraví a údaje o sexuálnom živote alebo sexuálnej orientácii.¹

Táto hranica je dôležitá. Finančné ťažkosti, domáca adresa či hodnotenie výkonu môžu byť citlivé v bežnej reči, no iba preto nie sú osobitnou kategóriou údajov. Prevádzkovateľ ich má aj tak chrániť podľa všeobecných pravidiel GDPR. Nemá však uvádzať podmienku článku 9 pri údajoch, na ktoré sa tento článok nevzťahuje.

Východiskom je zákaz, nie povolenie

Článok 9 ods. 1 spracúvanie uvedených údajov zakazuje.¹ Takáto štruktúra sa líši od článku 6. Pri bežných osobných údajoch sa podľa článku 6 naopak hľadá právny základ. Firma preto zaznamená dve samostatné odpovede: právny základ podľa článku 6 pre celé spracúvanie a podmienku podľa článku 9 ods. 2, ktorá odstraňuje dodatočný zákaz.³

Výslovný súhlas je prvou uvedenou podmienkou. Musí sa týkať jedného alebo viacerých určených účelov. Článok 9 však zachováva obmedzenie: právo Únie alebo členského štátu môže stanoviť, že dotknutá osoba nemôže zákaz zrušiť súhlasom.¹ Začiarknuté políčko preto nie je univerzálnym povolením.

Malej firmy sa podľa konkrétnej činnosti môžu týkať aj ďalšie podmienky článku 9 ods. 2. Patria sem povinnosti a práva v pracovnom práve a sociálnom zabezpečení, ochrana životne dôležitých záujmov osoby neschopnej udeliť súhlas, právne nároky, významný verejný záujem podľa práva a účely zdravotnej starostlivosti alebo pracovného lekárstva pri stanovených zárukách.¹ Firma musí podmienku priradiť ku skutočnému účelu a príslušnému právu Únie alebo vnútroštátnemu právu. Pohodlnosť nie je podmienkou.

Články 6 a 9 sa uplatňujú súčasne

Podmienka článku 9 sa uplatňuje popri právnom základe podľa článku 6; nenahrádza ho. Európsky výbor pre ochranu údajov prevádzkovateľom hovorí, aby určili základ podľa článku 6 a osobitne overili dodatočnú podmienku podľa článku 9.³ Ambulancia môže napríklad potrebovať údaje o zdraví na poskytnutie liečby. Aj tak zaznamená, prečo je spracúvanie zákonné podľa článku 6 a ktorá zdravotná podmienka článku 9 sa uplatňuje.

Toto dvojstupňové posúdenie predchádza bežnej chybe. Firma môže získať výslovný súhlas a tým analýzu ukončiť. Tak zostáva otázka článku 6 nezodpovedaná a firma môže prehliadnuť, či je súhlas v pracovnom vzťahu udelený slobodne. Naopak, zmluva podľa článku 6 sama osebe zákaz podľa článku 9 neruší. Každá vrstva plní inú právnu úlohu.

Spracúvanie musí spĺňať aj ostatné zásady GDPR. Zvolený základ a podmienka nerušia povinnosti účelového obmedzenia, minimalizácie údajov, správnosti, obmedzenia uchovávania, bezpečnosti, transparentnosti a zodpovednosti.¹ Pri zhromaždení úplnej zdravotnej anamnézy kvôli jednorazovej úprave pracoviska by aj naďalej bolo potrebné posúdiť nevyhnutnosť a minimalizáciu údajov.

Citlivý význam možno odvodiť z bežných polí

Rozhoduje to, čo údaje odhaľujú, nie názov stĺpca v databáze. Vo veci C-184/20 Súdny dvor rozhodol, že zverejnenie údajov schopných nepriamo odhaliť sexuálnu orientáciu môže predstavovať spracúvanie osobitných kategórií údajov. Posilnená ochrana sa uplatní aj vtedy, keď sa citlivá informácia odhalí myšlienkovým postupom zahŕňajúcim porovnanie alebo odvodenie.²

Malá firma má preto preveriť odvodené údaje aj ich kombinácie. Dodacia adresa spojená s opakovanými nákupmi môže odhaliť náboženské zvyklosti. Opakujúce sa termíny a kódy služieb môžu prezradiť zdravotný stav. Fotografia prevedená na šablónu tváre na overovanie totožnosti sa môže stať biometrickým údajom používaným na jedinečnú identifikáciu, hoci pôvodná fotografia do tejto kategórie automaticky nepatrila.

Posúdenie má preto sledovať nielen vstupné údaje, ale aj výsledný význam a účel spracúvania. Premenovanie poľa jeho význam nemení. Odstránenie výslovného citlivého atribútu tiež nemusí stačiť, ak skóre modelu alebo segmentácia spoľahlivo ukazuje tú istú informáciu.

Vyššie riziko si vyžaduje dodatočné opatrenia

Prvým opatrením je písomný záznam dvojstupňového právneho testu. Uveďte účel, základ podľa článku 6, podmienku podľa článku 9, kategórie osôb a údajov, príjemcov, rozhodnutie o uchovávaní, bezpečnostné opatrenia a príslušné ustanovenie vnútroštátneho práva. Záznam má byť natoľko konkrétny, aby z neho iná osoba pochopila, prečo sa výnimka uplatňuje.

Článok 35 vyžaduje posúdenie vplyvu na ochranu údajov pri rozsiahlom spracúvaní osobitných kategórií.¹ Toto ustanovenie neznamená, že každá jednotlivá zdravotná poznámka automaticky vyžaduje posúdenie vplyvu. Rozsiahle spracúvanie túto povinnosť zakladá výslovne, ďalšie riziká ju môžu založiť aj inak. Fyzioterapeutická ambulancia, ktorá uchováva záznamy pacientov, má posúdiť skutočný rozsah a riziká a neuspokojiť sa s tým, že je malá.

Záruky majú zodpovedať spôsobu použitia. Obmedzte prístup na pracovníkov, ktorí informácie potrebujú, podľa možností oddeľte citlivé polia, chráňte prenosy, určte odôvodnenú lehotu uchovávania a výmaz pravidelne overujte. Ak podmienka podľa článku 9 závisí od profesijnej mlčanlivosti, pracovného práva alebo inej zákonnej záruky, túto väzbu zaznamenajte namiesto všeobecného vyhlásenia o bezpečnosti.

Dôsledky nesprávneho posúdenia zákazu môžu byť závažné. Porušenie článku 9 patrí do hornej úrovne správnych pokút: do 20 000 000 EUR alebo pri podniku do 4 % celkového celosvetového ročného obratu za predchádzajúci finančný rok podľa toho, ktorá suma je vyššia.¹ Ide o zákonné maximá, nie o odhad pravdepodobnej sankcie.

Vnútroštátne právo a článok 10 tvoria ďalšie hranice

Článok 9 platný v celej EÚ nemusí byť posledným slovom. Článok 9 ods. 4 dovoľuje členským štátom zachovať alebo zaviesť ďalšie podmienky vrátane obmedzení pre genetické, biometrické a zdravotné údaje.¹ To isté spracúvanie preto môže byť v jednom členskom štáte prípustné a v inom obmedzené prísnejšie. Cezhraničná firma musí zmapovať príslušné vnútroštátne pravidlo pre každú prevádzkareň alebo operáciu; nemá kopírovať záver jednej krajiny do celej skupiny.

Údaje o odsúdeniach a trestných činoch upravuje článok 10 samostatne. Nepatria do zoznamu článku 9. Spracúvanie musí prebiehať pod kontrolou orgánu verejnej moci alebo byť povolené právom Únie či členského štátu s primeranými zárukami.¹ Zamestnávateľ, ktorý preveruje odsúdenia, nemôže problém vyriešiť výberom výslovného súhlasu zo zoznamu článku 9.

Samotné zaradenie údajov nerozhoduje, či je spracúvanie zákonné. Odpoveď závisí od účelu, kontextu, rozsahu, základu podľa článku 6, presnej podmienky podľa článku 9 a podporného vnútroštátneho práva. Závisí aj od toho, čo kombinované alebo odvodené informácie odhaľujú. Kontrolný zoznam môže nastoliť otázky, ale nemôže nahradiť chýbajúce právne oprávnenie.

Informácia môže byť veľmi citlivá aj bez toho, aby patrila pod článok 9 alebo 10. To neznamená, že je nechránená. Naďalej sa na ňu uplatňujú všetky všeobecné zásady GDPR a súvisiace bezpečnostné povinnosti. Údaje zaraďte presne a potom prijmite opatrenia zodpovedajúce skutočnému riziku.

Čo urobiť ďalej

Vytvorte stručný zoznam všetkých procesov, ktoré používajú údaje o zdraví, genetike, biometrickej identifikácii, presvedčení, odboroch, politike, pôvode, sexuálnom živote alebo orientácii. Pri každom osobitne zaznamenajte základ podľa článku 6 a podmienku článku 9. Potom overte odvodenia, vnútroštátne limity, potrebu posúdenia vplyvu a dodatočné záruky.

Záznam zaraďte medzi širšie opatrenia opísané v článku o riadení AI podľa GDPR a aktu o AI. Overte, kto určuje účel spracúvania, pomocou vysvetlenia prevádzkovateľ alebo sprostredkovateľ, poskytovateľa zaviažte podľa návodu k sprostredkovateľskej zmluve a územnú pôsobnosť overte cez článok či GDPR platí mimo EÚ.

Často kladené otázky

Čo sú osobitné kategórie údajov podľa GDPR?

Osobitné kategórie sú osobné údaje odhaľujúce rasový alebo etnický pôvod, politické názory, náboženské či filozofické presvedčenie alebo členstvo v odboroch, ako aj genetické údaje, biometrické údaje používané na jedinečnú identifikáciu, údaje o zdraví a údaje o sexuálnom živote či sexuálnej orientácii. Článok 9 ich spracúvanie zakazuje, ak neplatí niektorá z uvedených výnimiek.

Sú všetky biometrické údaje osobitnou kategóriou?

Nie. Článok 9 uvádza biometrické údaje iba vtedy, keď sa spracúvajú na účely jedinečnej identifikácie fyzickej osoby. Fotografia preto nepatrí automaticky medzi osobitné kategórie. Rozhoduje účel a spôsob spracúvania: šablóna tváre používaná na overenie zamestnanca sem môže patriť, hoci pôvodný obrázok vyzeral ako bežná fotografia.

Stačí na zákonné spracúvanie výslovný súhlas?

Výslovný súhlas je jednou z podmienok článku 9, ale nejde o úplnú právnu odpoveď. Prevádzkovateľ musí určiť aj právny základ podľa článku 6 a splniť požiadavky GDPR na súhlas. Právo Únie alebo členského štátu navyše môže stanoviť, že dotknutá osoba v určitej situácii nemôže zákaz podľa článku 9 zrušiť súhlasom.

Môžu sa bežné údaje stať osobitnou kategóriou odvodením?

Áno. Súdny dvor rozhodol, že údaje schopné nepriamo odhaliť sexuálnu orientáciu porovnaním alebo dedukciou môžu patriť pod článok 9. Prevádzkovateľ sa prísnejším pravidlám nevyhne iba tým, že citlivý údaj nepomenuje. Musí preto posúdiť, aké informácie v skutočnosti odhaľujú samotné údaje aj spôsob, akým sa spracúvajú.

Je pri osobitných kategóriách vždy potrebné posúdenie vplyvu?

Nie iba preto, že sa v procese objavia osobitné kategórie údajov. Článok 35 výslovne vyžaduje posúdenie vplyvu na ochranu údajov pri rozsiahlom spracúvaní údajov podľa článku 9. Túto povinnosť môžu založiť aj iné rizikové okolnosti. Malá firma má posúdiť rozsah, kontext, účel, dotknuté osoby a pravdepodobný vplyv, nie automaticky odpovedať áno alebo nie.

Patria údaje o trestných činoch pod článok 9?

Nie. Osobné údaje o odsúdeniach a trestných činoch upravuje samostatne článok 10; nie sú súčasťou zoznamu v článku 9. Aj tak podliehajú dodatočnej ochrane: spracúvanie musí prebiehať pod kontrolou orgánu verejnej moci alebo ho musí povoľovať právo Únie či členského štátu s primeranými zárukami. Podmienka článku 9 ho nemôže nahradiť.