Pasitaiko situacijų, kad duomenų valdytojai net neįtaria, jog tvarko specialių kategorijų duomenis, pvz., fotografijų tvarkymas gali būti laikomas biometriniais duomenimis ir tokiu būdu traktuojamas kaip neskelbtini asmens duomenys, jei jie tvarkomi naudojant specialias technines priemones, leidžiančias unikaliai identifikuoti fizinį asmenį.
Kas yra sveikatos, biometriniai ir genetiniai duomenys?
2018 m. gegužės 25 d. tarp valstybių narių įsigaliojusiame Bendrajame duomenų apsaugos reglamente (BDAR) sveikatos duomenys yra apibrėžti kaip asmens duomenys, susiję su fizine ar psichine fizinio asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys informaciją apie to fizinio asmens sveikatos būklę.
Fizinio asmens tapatybę sveikatos priežiūros tikslais galima konkrečiai nustatyti pagal priskirtą numerį, simbolį ar žymę.
Sveikatos duomenys gali būti gaunami atliekant kūno dalies ar medžiagos tyrimus ar analizę, įskaitant genetinius duomenis ir biologinius mėginius. Genetiniai duomenys yra susiję su paveldėtomis ar įgytomis fizinio asmens genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie to fizinio asmens fiziologiją ar sveikatą. Biometriniai duomenys yra susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę.
Sveikatos duomenys gali būti gaunami iš gydytojo, sveikatos priežiūros specialisto, ligoninės, medicinos įstaigos, diagnostinių tyrimų įstaigos. Kilmės šaltinis nėra svarbus siekiant nustatyti, ar asmens duomenys yra sveikatos duomenys. Duomenų subjekto fiziologinė ar biomedicininė būklė, informacija apie ligą, negalią, riziką susirgti, sveikatos istoriją, klinikinį gydymą – visa tai yra sveikatos duomenys.
Sveikatos, biometrinių ir genetinių duomenų tvarkymas
Sveikatos, biometriniai ir genetiniai duomenys yra specialių kategorijų asmens duomenys, kuriems taikytina aukštesnio lygio apsauga, šie duomenys gali būti tvarkomi tik su sveikata susijusiais tikslais. BDAR draudžia tvarkyti sveikatos, genetinius ir biometrinius duomenis, nebent būtų taikomas vienas iš teisėtų pagrindų:
- Duomenų subjektas davė aiškų sutikimą.
- Duomenų valdytojas arba duomenų subjektas galėtų įvykdyti prievoles ir naudotis specialiomis teisėmis darbo ir socialinės apsaugos teisės srityje.
- Duomenų subjekto ar kito fizinio asmens gyvybinių interesų apsauga, kai duomenų subjektas dėl fizinių ar teisinių priežasčių negali duoti sutikimo.
- Duomenis tvarko politinių, filosofinių, religinių ar profesinių sąjungų tikslų siekiantis fondas, asociacija ar kita pelno nesiekianti organizacija, vykdydama teisėtą veiklą ir taikydama tinkamas apsaugos priemones.
- Duomenų subjektas asmens duomenis akivaizdžiai paskelbė viešai.
- Duomenų tvarkymas būtinas siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus arba tuo atveju, kai teismai vykdo savo teisminius įgaliojimus.
- Duomenų tvarkymas būtinas dėl svarbių viešojo intereso priežasčių.
- Profilaktinės arba darbo medicinos tikslais, siekiant įvertinti darbuotojo darbingumą, nustatyti medicininę diagnozę, teikti sveikatos priežiūros arba socialinės rūpybos paslaugas ar gydymą arba valdyti sveikatos priežiūros ar socialinės rūpybos sistemas ir paslaugas.
- Duomenų tvarkymas būtinas dėl viešojo intereso priežasčių visuomenės sveikatos srityje, pavyzdžiui, siekiant apsisaugoti nuo rimtų tarpvalstybinio pobūdžio grėsmių sveikatai arba užtikrinti aukštus sveikatos priežiūros ir vaistų arba medicinos priemonių kokybės ir saugos standartus.
- Archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais.
Į ką duomenų valdytojai turėtų atsižvelgti tvarkydami ar ketindami tvarkyti sveikatos, biometrinius ir genetinius duomenis?
Duomenų valdytojai prieš pradedant tvarkyti sveikatos, biometrinius ir genetinius duomenis turėtų įvertinti, ar šių duomenų tvarkymas yra būtinas tikslams pasiekti, ar to negalima pasiekti jokiomis kitomis priemonėmis, t. y. ieškoti alternatyvų. Sveikatos, biometrinius ir genetinius duomenis privaloma tvarkyti remiantis vienu iš BDAR pateiktų specialių kategorijų asmens duomenų tvarkymo teisinių pagrindų. Taip pat labai svarbu vadovautis duomenų mažinimo principu, apriboti renkamų duomenų kiekį.
Pagal BDAR duomenų valdytojai turėtų imtis atitinkamų techninių ir organizacinių priemonių. Privaloma atlikti poveikio duomenų apsaugai vertinimą, kuris padės nustatyti duomenų tvarkymo riziką ir tinkamas priemones jai sumažinti. BDAR leidžia valstybių narėms nustatyti papildomas sąlygas reglamentuojančius teisinius reikalavimus, kad būtų užtikrintas sąžiningas duomenų tvarkymas tam tikrose duomenų tvarkymo situacijose.