Защо във второто решение на австрийския надзорен орган нямаше глоба?
В последния си бюлетин австрийският орган за защита на данните (Datenschutzbehörde, DSB) публикува свои решения, както и съдебна практика на националния и на европейския съд.
В първото решение има глоба в размер на 63 800 евро. Администраторът на данни е използвал система за видеонаблюдение в частната си клиника, състояща се от четири видеокамери. По една камера е била инсталирана във всяка операционна зала. Всяка камера е заснемала хирургическото оборудване, инструментите и операционната маса от леко повдигнат ъгъл, предавайки изображения на живо и непрекъснато.
В резултат на това системата редовно е заснемала пациенти, целия персонал в операционните и анестезиологичните отделения на клиниката, други лица, чието присъствие е било необходимо по време на операциите, както и всеки друг, влизал в наблюдаваното пространство по други причини.
Пациентите не са били информирани, нито е било получено тяхното съгласие.
Системата е била използвана за оказване на съдействие по време на операции, проследяване на хода на процедурите, осигуряване на своевременни следоперативни грижи за пациентите и улесняване на ефективното планиране на последващи хирургически интервенции. Освен това тя е имала за цел да предотврати отварянето на врати и навлизането на неоторизирани лица.
Въпреки че законният интерес може да оправдае обработването на лични данни на лица, които не са пациенти, той не представлява правно основание по смисъла на чл. 9, параграф 2 от GDPR за обработването на специални категории лични данни. Следователно правното основание на чл. 6, параграф 1, буква „е“ от GDPR е неприложимо по отношение на обработването на чувствителни лични данни. Вместо това, обработването на въпросните здравни данни от обвиняемия би изисквало изричното съгласие на съответните пациенти, съгласно чл. 9, параграф 2, буква „а“ от GDPR.
Следователно администраторът е нарушил чл. 6, параграф 1 във връзка с чл. 9, параграф 2 и чл. 5, параграф 1, б. „а“, както и чл. 12 и 13 от GDPR, пише DSB.
Второто решение на надзорния орган е по жалба за предаване на данни за контакт на родител/настойник в контекста на сигнал за дете в риск. Директор на федерално средно училище е предал лични данни на родител/ настойник, по-специално негов телефонен номер, на отговорен окръжен административен орган като част от сигнал за непълнолетен ученик, който може да се намира в риск. За тази цел е използван формуляр „Уведомление до службите за закрила на децата и младежите в случаи на подозрение за дете в риск“, предоставен от окръжния административен орган. Впоследствие окръжният административен орган се е свързал с жалбоподателката по телефона, за да изясни рисковата ситуация. Жалбоподателката е счела предаването на телефонния номер, по-специално, за нарушение на правото ѝ на личен живот съгласно член 1 от Закона за защита на данните.
Първоначално DSB определя, че телефонният номер представлява лични данни и че предаването му от училищното ръководство изисква правно основание.
DSB отбеляза, че правното основание не е задължително да посочва изрично всяка отделна категория данни или всяка конкретна стъпка при обработването им. От решаващо значение е, че възложената задача е дефинирана достатъчно ясно и че конкретната обработка на данни е необходима за изпълнението на тази задача. Следователно предаването на данни за контакт е било допустимо, дори и без изрично законово упоменаване на въпросните конкретни данни. Използването на формуляра, предоставен от окръжния административен орган (Bezirkshauptmannschaft), е улеснило структурираното и пълно предаване на информация, имаща отношение към оценката на потенциалния риск.
Предаването на данни за контакт е било необходимо за изпълнението на задача от обществен интерес, в съответствие с чл. 6, пар. 1, б. „д“ от ОРЗД/GDPR. По-конкретно, телефонният номер е позволил осъществяването на пряк и бърз контакт с настойника/попечителя. Не е съществувал очевиден алтернативен метод за извършване на също толкова ефективна оценка на риска, който да изисква по-малка степен на обработка на данни – например чрез разчитане единствено на кореспонденция по пощата.
В резултат на това не е налице нарушение нито на правото на поверителност съгласно раздел 1 от Закона за защита на данните (DSG), нито на принципите за обработване на данни, установени в член 5 от ОРЗД. Жалбата е отхвърлена като неоснователна.