Stručni komentar
ISO 27701
Uvodne izjave
(51) Data personali, li min-natura tagħha, tkun partikolarment sensittiva fir-rigward tad-drittijiet u l-libertajiet fundamentali jistħoqqilha protezzjoni speċifika billi l-kuntest tal-ipproċessar tagħha jista' joħloq riskji sinifikanti għad-drittijiet u l-libertajiet fundamentali. Dik id-data personali għandha tinkludi data personali li tiżvela l-oriġini razzjali jew etnika, fejn l-użu tat-terminu “oriġini razzjali” f'dan ir-Regolament ma jimplikax li l-Unjoni taċċetta teoriji li jippruvaw jiddeterminaw l-eżistenza ta' razez umani separati. L-ipproċessar ta' ritratti m'għandhux sistematikament jitqies bħala pproċessar ta' kategoriji speċjali ta' data personali peress li dawn ikunu koperti bid-definizzjoni ta' data bijometrika biss meta jiġu pproċessati b'mezz tekniku speċifiku li jippermetti l-identifikazzjoni unika jew l-awtentikazzjoni ta' persuna fiżika. Tali data personali ma għandhiex tiġi pproċessata, għajr jekk l-ipproċessar ikun permess f'każijiet speċifiċi stabbiliti f'dan ir-Regolament, b'kont meħud li l-liġi tal-Istati Membri tista' tistabbilixxi dispożizzjonijiet speċifiċi dwar il-protezzjoni ta' data sabiex tadatta l-applikazzjoni tar-regoli ta' dan ir-Regolament għal konformità ma' obbligu legali jew għall-prestazzjoni ta' kompitu mwettaq fl-interess pubbliku jew fl-eżerċizzju ta' awtorità uffiċjali mogħtija lill-kontrollur. Minbarra r-rekwiżiti speċifiċi għal dan l-ipproċessar, il-prinċipji ġenerali u regoli oħra ta' dan ir-Regolament għandhom japplikaw, b'mod partikolari fir-rigward tal-kondizzjonijiet għal ipproċessar legali. Id-derogi mill-projbizzjoni ġenerali għall-ipproċessar ta' tali kategoriji speċjali ta' data personali għandhom jiġu previsti b'mod espliċitu, fost oħrajn fejn is-suġġett tad-data jagħti l-kunsens espliċitu tiegħu jew tagħha jew fir-rigward ta' ħtiġijiet speċifiċi b'mod partikolari fejn l-ipproċessar isir waqt attivitajiet leġittimi minn ċerti assoċjazzjonijiet jew fondazzjonijiet li l-għan tagħhom huwa li jippermettu l-eżerċizzju ta' libertajiet fundamentali.
(52) Id-deroga mill-projbizzjoni dwar l-ipproċessar ta' kategoriji speċjali ta' data personali għandha tkun permessa wkoll meta tkun prevista fil-liġi tal-Unjoni jew ta' Stat Membru u soġġett għal salvagwardji adatti, sabiex jiġu protetti d-data personali u drittijiet fundamentali oħra, fejn ikun fl-interess pubbliku li jsir hekk, b'mod partikolari l-ipproċessar ta' data personali fil-qasam tal-liġi tal-impjiegi, il-liġi tal-protezzjoni soċjali, inkluż il-pensjonijiet u għas-sigurtà tas-saħħa, għal finijiet ta' monitoraġġ u twissija, prevenzjoni u kontroll ta' mard li jittieħed u ta' theddid serju ieħor għas-saħħa. Tali deroga tista' ssir għal finijiet ta' saħħa, inkluża s-saħħa pubblika u l-ġestjoni tas-servizzi tal-kura tas-saħħa, speċjalment sabiex tkun żgurata l-kwalità u l-kosteffettività tal-proċeduri użati għat-tpaċija ta' talbiet għal benefiċċji u servizzi fis-sistema tal-assigurazzjoni tas-saħħa, jew għal finijiet ta' arkivjar fl-interess pubbliku, għal finijiet ta' riċerka xjentifika jew storika jew għal finijiet ta' statistika. Id-deroga għandha tippermetti wkoll l-ipproċessar ta' tali data personali fejn dan ikun meħtieġ għall-istabbiliment, l-eżerċizzju jew id-difiża ta' talbiet legali, kemm jekk fi proċedimenti ġudizzjarji kif ukoll jekk fi proċedura amministrattiva jew extraġudizzjarja.
(53) Il-kategoriji speċjali ta' data personali li jistħoqqilhom aktar protezzjoni għandhom jiġu pproċessati biss għal finijiet relatati mas-saħħa fejn ikun meħtieġ biex jinkisbu dawk il-finijiet għall-benefiċċju ta' persuni fiżiċi u s-soċjetà inġenerali, b'mod partikolari fil-kuntest tal-ġestjoni tas-servizzi tal-kura tas-saħħa jew soċjali u sistemi, li jinkludu l-ipproċessar mill-awtoritajiet tal-ġestjoni u tas-saħħa nazzjonali ċentrali ta' tali data għall-fini tal-kontroll tal-kwalità, l-informazzjoni ta' ġestjoni u s-superviżjoni ġenerali nazzjonali u lokali tas-sistema tal-kura tas-saħħa jew soċjali, u billi tiġi żgurata kontinwità tal-kura tas-saħħa jew soċjali u l-kura tas-saħħa transkonfinali jew tas-sigurtà tas-saħħa, għall-finijiet ta' monitoraġġ u twissija jew għal finijiet ta' arkivjar fl-interess pubbliku, għal finijiet ta' riċerka xjentifika jew storika jew għal finijiet ta' statistika abbażi tal-liġi tal-Unjoni jew ta' Stat Membru li għandha tilħaq objettiv ta' interess pubbliku, kif ukoll għal studji mwettqa fl-interess pubbliku fil-qasam tas-saħħa pubblika. Għalhekk dan ir-Regolament għandu jipprevedi kondizzjonijiet armonizzati għall-ipproċessar ta' kategoriji speċjali ta' data personali dwar is-saħħa, fir-rigward ta' ħtiġijiet speċifiċi, b'mod partikolari fejn l-ipproċessar ta' tali data jsir għal ċerti finijiet relatati mas-saħħa minn persuni soġġetti għal obbligu legali ta' segretezza professjonali. Il-liġi tal-Unjoni jew ta' Stat Membru għandha tipprovdi għal miżuri speċifiċi u adatti sabiex jiġu protetti d-drittijiet fundamentali u d-data personali tal-persuni fiżiċi. L-Istati Membri għandhom ikunu jistgħu jżommu jew jintroduċu aktar kondizzjonijiet, inklużi limitazzjonijiet, fir-rigward tal-ipproċessar ta' data ġenetika, data bijometrika jew data dwar is-saħħa. Madankollu, dan m'għandux ixekkel il-fluss liberu tad-data personali fl-Unjoni meta dawk il-kondizzjonijiet japplikaw għall-ipproċessar transkonfinali ta' tali data.
(54) L-ipproċessar ta' kategoriji speċjali ta' data personali jista' jkun meħtieġ għal raġunijiet ta' interess pubbliku fl-oqsma tas-saħħa pubblika mingħajr il-kunsens tas-suġġett tad-data. Tali pproċessar jeħtieġ li jkun soġġett għal miżuri adatti u speċifiċi sabiex jiġu protetti d-drittijiet u l-libertajiet tal-persuni fiżiċi. F'dak il-kuntest, “saħħa pubblika” għandha tiġi interpretata kif definita fir-Regolament (KE) Nru 1338/2008 tal-Parlament Ewropew u tal-Kunsill (11), jiġifieri l-elementi kollha relatati mas-saħħa, b'mod partikolari l-istat tas-saħħa, inklużi l-morbożità u d-diżabbiltà, il-fatturi determinanti li għandhom effett fuq l-istat tas-saħħa, il-bżonnijiet fil-qasam tal-kura tas-saħħa, ir-riżorsi allokati għall-kura tas-saħħa, il-forniment tal-kura tas-saħħa u l-aċċess universali għaliha, kif ukoll l-infiq u l-finanzjament tal-kura tas-saħħa, u l-kawżi ta' mortalità. Tali pproċessar ta' data dwar is-saħħa għal raġunijiet ta' interess pubbliku ma għandux jirriżulta fl-ipproċessar ta' data personali għal finijiet oħra minn partijiet terzi bħal min iħaddem, kumpanniji tal-assigurazzjoni u kumpanniji bankarji.
(55) Barra minn hekk, l-ipproċessar ta' data personali minn awtoritajiet uffiċjali bil-għan li jinkisbu l-miri, stabbiliti mil-liġi kostituzzjonali jew mil-liġi pubblika internazzjonali, ta' assoċjazzjonijiet reliġjużi rikonoxxuti uffiċjalment jitwettaq għal raġunijiet ta' interess pubbliku.
(56) Fejn, matul attivitajiet elettorali, l-operat tas-sistema demokratika fi Stat Membru teħtieġ li l-partiti politiċi jikkompilaw data personali dwar l-opinjonijiet politiċi tan-nies, l-ipproċessar ta' din id-data jista' jkun permess għal raġunijiet ta' interess pubbliku, dment li jiġu stabbiliti salvagwardji adatti.
Smjernice i sudska praksa
(EN)
Documents
Article 29 Working Party, Opinion 2/2010 on behavioural advertising (2010):
Any possible targeting of data subjects based on sensitive information opens the possibility of abuse. Furthermore, given the sensitivity of such information and the possible awkward situations which may arise if individuals receive advertising that reveals, for example, sexual preferences or political activity, offering/using interest categories that would reveal sensitive data should be discouraged.
In this context, the only available legal ground that would legitimize the data processing would be explicit, separate prior opt-in consent. The requirement for a separate, affirmative prior indication of the data subjects’ agreement means that in no case would an opt-out consent mechanism meet the requirement of the law. It also means that such consent could not be obtained through browser settings. To lawfully collect and process this type of information, ad network providers would have to set up mechanisms to obtain explicit prior consent, separate from other consent obtained for processing in general.
EDPB, Assessing the Necessity of Measures That Limit the Fundamental Right to the Protection of Personal Data: A Toolkit (2017).
WP29, Opinion on data processing at work (2017).
European Commission, Commission Guidance on the application of Union data protection law in the electoral context, A contribution from the European Commission to the Leaders’ meeting in Salzburg on 19-20 September 2018.
EDPB, Guidelines on Assessing the Proportionality of Measures That Limit the Fundamental Rights to Privacy and to the Protection of Personal Data (2019).
EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).
EDPB, Guidelines 8/2020 on the targeting of social media users (2020).
EDPB, Guidelines 3/2020 on the Processing of Data Concerning Health for the Purpose of Scientific Research in the Context of the Covid-19 Outbreak (2020).
EDPB, Guidelines 3/2019 on Processing of Personal Data through Video Devices (2020).
European Commission, Guidance on Apps supporting the fight against COVID 19 pandemic in relation to data protection Brussels (2020).
EDPB, Guidelines 02/2021 on Virtual Voice Assistants (2021).
Case Law
Grainger Plc v. Nicholson, [2010] ICR 360.
CJEC, Lindqvist, C-101/01 (2003).
Eur. Court HR (Grand Chamber), López Ribalda v. Spain, nos. 1874/13 and 8567/13 (2019).
Eur. Court HR, Gaughran v. United Kingdom, no. 45245/15 (2020).
(EN) The first exception is based on “explicit consent”. Article 9 consent differs from the general notion of consent of article 6 in one important aspect: it must be explicitly provided by the person concerned. It means that the consent must be freely given, specific, informed, and unambiguous, under the definition of article 4 (11), and, in addition to these requirements, it must be “explicit”.
What form of consent is considered “explicit” and thus valid under article 9? The sensitive nature of the data involved entails a consent that goes beyond the regular “statement or clear affirmative action” [article 4 (11)] on the part of the data subject. It means that s/he must give “an express statement of consent” (Guidelines on Consent), even in the case where services are provided on a contractual basis. An explicit consent is needed because there is no contract based exceptions in article 9 (2) a controller can rely on.
The Guidelines on Consent suggest that a written statement or even a signed written statement may be required, even though the GDPR does not prescribe such a form of consent. A signed consent may be relevant if health data are collected, for example, in the context of services offered by a private clinic or a convalescent home. A plastic surgeon may need to gather information about a client’s health condition or share medical information to seek a second opinion from one of her/his colleagues. The managers of a convalescent home will have to gather information about a future pensionary’s health condition to arrange the appropriate services needed during her/his stay.
A signed written statement is not as practical in the digital or online environment. How can a person consent if, for example, s/he buys a plane ticket online and requires special medical assistance at boarding time, during the flight or at her/his arrival at destination? A valid consent will also be difficult to obtain if a person places an online order for buying special eyewear as the seller has to collect health-related information about her/his vision and share it with the manufacturer.
Simply following a link or ticking a box might be regarded as an insufficient consent in these examples. The Guidelines on Consent recommend other forms of consent, like filling in an electronic form, using an electronic signature, recording an oral statement or proceeding with a two-step verification (ticking a box in a form and confirming the consent by email afterward, for example).
Article 9 prescribes that a person must consent “for one or more specified purposes”. The requirement goes beyond the “specific” quality of consent required by article 4 (11). Purposes must be clearly specified, which implies that the consent must be tied to specific data or precise categories of data that the controller will be allowed to process.
You must always remember that the GDPR is not a complete statement on the state of the law on data protection in a particular Member State, and it is particularly true here because there is an exception to the exception. Consent is an invalid basis to process special categories of personal data if a Member State prohibits the lifting of the prohibition for processing special categories of personal data by an individual in its national legislation, as the GDPR allows it.