Статья 9 📖 GDPR. Обработка специальных категорий персональных данных

Artikolu 9 RĠPD (GDPR). Ipproċessar ta' kategoriji speċjali ta' data personali

1. L-ipproċessar ta’ data personali, li jiżvela oriġini razzjali jew etnika, opinjonijiet politiċi, twemmin reliġjuż jew filosofiku, jew sħubija fi trade union, u l-ipproċessar ta’ data ġenetika, data bijometrika sabiex tidentifika b’mod uniku persuna fiżika, data dwar is-saħħa jew data dwar il-ħajja sesswali u l-orjentazzjoni sesswali ta’ persuna fiżika huma projbiti.

Руководство и прецедентное право Преамбулы

Руководство и прецедентное право

(EN)

Documents

Article 29 Working Party, Opinion 2/2012 on Facial Recognition in Online and Mobile Services (2012).

Article 29 Working Party, Opinion 3/2012 on Developments in Biometric Technologies (2012).

EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).

EDPB, Guidelines 8/2020 on the targeting of social media users (2020):

If a social media provider or a targeter uses observed data to categorise users as having certain religious, philosophical or political beliefs-regardless of whether the categorization is correct/true or not-this categorisation of the user must obviously be seen as processing of special category of personal data in this context. As long as the categorisation enables targeting based on special category data, it does not matter how the category is labelled.

EDPB, Guidelines 06/2020 on the interplay of the Second Payment Services Directive and the GDPR (2020).

Financial transactions can reveal sensitive information about individual data subject, including those related to special categories of personal data. For example, political opinions and religious beliefs may be revealed by donations made to political parties or organisations, churches or parishes. Trade union membership may be revealed by the deduction of an annual membership fee from a person’s bank account. Personal data concerning health may be gathered from analysing medical bills paid by a data subject. Finally, information on certain purchases may reveal information concerning a person’s sex life or sexual orientation.

Moreover, through the sum of financial transactions, different kinds of behavioural patterns could be revealed, including special categories of personal data and additional services that are facilitated by account information services might rely on profiling as defined by article 4 (4) of the GDPR. Therefore, the chances are considerable that a service provider processing information on financial transactions of data subjects also processes special categories of personal data.

Преамбулы

(51) Data personali, li min-natura tagħha, tkun partikolarment sensittiva fir-rigward tad-drittijiet u l-libertajiet fundamentali jistħoqqilha protezzjoni speċifika billi l-kuntest tal-ipproċessar tagħha jista' joħloq riskji sinifikanti għad-drittijiet u l-libertajiet fundamentali. Dik id-data personali għandha tinkludi data personali li tiżvela l-oriġini razzjali jew etnika, fejn l-użu tat-terminu “oriġini razzjali” f'dan ir-Regolament ma jimplikax li l-Unjoni taċċetta teoriji li jippruvaw jiddeterminaw l-eżistenza ta' razez umani separati. L-ipproċessar ta' ritratti m'għandhux sistematikament jitqies bħala pproċessar ta' kategoriji speċjali ta' data personali peress li dawn ikunu koperti bid-definizzjoni ta' data bijometrika biss meta jiġu pproċessati b'mezz tekniku speċifiku li jippermetti l-identifikazzjoni unika jew l-awtentikazzjoni ta' persuna fiżika. Tali data personali ma għandhiex tiġi pproċessata, għajr jekk l-ipproċessar ikun permess f'każijiet speċifiċi stabbiliti f'dan ir-Regolament, b'kont meħud li l-liġi tal-Istati Membri tista' tistabbilixxi dispożizzjonijiet speċifiċi dwar il-protezzjoni ta' data sabiex tadatta l-applikazzjoni tar-regoli ta' dan ir-Regolament għal konformità ma' obbligu legali jew għall-prestazzjoni ta' kompitu mwettaq fl-interess pubbliku jew fl-eżerċizzju ta' awtorità uffiċjali mogħtija lill-kontrollur. Minbarra r-rekwiżiti speċifiċi għal dan l-ipproċessar, il-prinċipji ġenerali u regoli oħra ta' dan ir-Regolament għandhom japplikaw, b'mod partikolari fir-rigward tal-kondizzjonijiet għal ipproċessar legali. Id-derogi mill-projbizzjoni ġenerali għall-ipproċessar ta' tali kategoriji speċjali ta' data personali għandhom jiġu previsti b'mod espliċitu, fost oħrajn fejn is-suġġett tad-data jagħti l-kunsens espliċitu tiegħu jew tagħha jew fir-rigward ta' ħtiġijiet speċifiċi b'mod partikolari fejn l-ipproċessar isir waqt attivitajiet leġittimi minn ċerti assoċjazzjonijiet jew fondazzjonijiet li l-għan tagħhom huwa li jippermettu l-eżerċizzju ta' libertajiet fundamentali.

2. Il-paragrafu 1 ma għandux japplika jekk japplika wieħed minn dawn li ġejjin:

Преамбулы

(52) Id-deroga mill-projbizzjoni dwar l-ipproċessar ta' kategoriji speċjali ta' data personali għandha tkun permessa wkoll meta tkun prevista fil-liġi tal-Unjoni jew ta' Stat Membru u soġġett għal salvagwardji adatti, sabiex jiġu protetti d-data personali u drittijiet fundamentali oħra, fejn ikun fl-interess pubbliku li jsir hekk, b'mod partikolari l-ipproċessar ta' data personali fil-qasam tal-liġi tal-impjiegi, il-liġi tal-protezzjoni soċjali, inkluż il-pensjonijiet u għas-sigurtà tas-saħħa, għal finijiet ta' monitoraġġ u twissija, prevenzjoni u kontroll ta' mard li jittieħed u ta' theddid serju ieħor għas-saħħa. Tali deroga tista' ssir għal finijiet ta' saħħa, inkluża s-saħħa pubblika u l-ġestjoni tas-servizzi tal-kura tas-saħħa, speċjalment sabiex tkun żgurata l-kwalità u l-kosteffettività tal-proċeduri użati għat-tpaċija ta' talbiet għal benefiċċji u servizzi fis-sistema tal-assigurazzjoni tas-saħħa, jew għal finijiet ta' arkivjar fl-interess pubbliku, għal finijiet ta' riċerka xjentifika jew storika jew għal finijiet ta' statistika. Id-deroga għandha tippermetti wkoll l-ipproċessar ta' tali data personali fejn dan ikun meħtieġ għall-istabbiliment, l-eżerċizzju jew id-difiża ta' talbiet legali, kemm jekk fi proċedimenti ġudizzjarji kif ukoll jekk fi proċedura amministrattiva jew extraġudizzjarja.

(53) Il-kategoriji speċjali ta' data personali li jistħoqqilhom aktar protezzjoni għandhom jiġu pproċessati biss għal finijiet relatati mas-saħħa fejn ikun meħtieġ biex jinkisbu dawk il-finijiet għall-benefiċċju ta' persuni fiżiċi u s-soċjetà inġenerali, b'mod partikolari fil-kuntest tal-ġestjoni tas-servizzi tal-kura tas-saħħa jew soċjali u sistemi, li jinkludu l-ipproċessar mill-awtoritajiet tal-ġestjoni u tas-saħħa nazzjonali ċentrali ta' tali data għall-fini tal-kontroll tal-kwalità, l-informazzjoni ta' ġestjoni u s-superviżjoni ġenerali nazzjonali u lokali tas-sistema tal-kura tas-saħħa jew soċjali, u billi tiġi żgurata kontinwità tal-kura tas-saħħa jew soċjali u l-kura tas-saħħa transkonfinali jew tas-sigurtà tas-saħħa, għall-finijiet ta' monitoraġġ u twissija jew għal finijiet ta' arkivjar fl-interess pubbliku, għal finijiet ta' riċerka xjentifika jew storika jew għal finijiet ta' statistika abbażi tal-liġi tal-Unjoni jew ta' Stat Membru li għandha tilħaq objettiv ta' interess pubbliku, kif ukoll għal studji mwettqa fl-interess pubbliku fil-qasam tas-saħħa pubblika. Għalhekk dan ir-Regolament għandu jipprevedi kondizzjonijiet armonizzati għall-ipproċessar ta' kategoriji speċjali ta' data personali dwar is-saħħa, fir-rigward ta' ħtiġijiet speċifiċi, b'mod partikolari fejn l-ipproċessar ta' tali data jsir għal ċerti finijiet relatati mas-saħħa minn persuni soġġetti għal obbligu legali ta' segretezza professjonali. Il-liġi tal-Unjoni jew ta' Stat Membru għandha tipprovdi għal miżuri speċifiċi u adatti sabiex jiġu protetti d-drittijiet fundamentali u d-data personali tal-persuni fiżiċi. L-Istati Membri għandhom ikunu jistgħu jżommu jew jintroduċu aktar kondizzjonijiet, inklużi limitazzjonijiet, fir-rigward tal-ipproċessar ta' data ġenetika, data bijometrika jew data dwar is-saħħa. Madankollu, dan m'għandux ixekkel il-fluss liberu tad-data personali fl-Unjoni meta dawk il-kondizzjonijiet japplikaw għall-ipproċessar transkonfinali ta' tali data.

(54) L-ipproċessar ta' kategoriji speċjali ta' data personali jista' jkun meħtieġ għal raġunijiet ta' interess pubbliku fl-oqsma tas-saħħa pubblika mingħajr il-kunsens tas-suġġett tad-data. Tali pproċessar jeħtieġ li jkun soġġett għal miżuri adatti u speċifiċi sabiex jiġu protetti d-drittijiet u l-libertajiet tal-persuni fiżiċi. F'dak il-kuntest, “saħħa pubblika” għandha tiġi interpretata kif definita fir-Regolament (KE) Nru 1338/2008 tal-Parlament Ewropew u tal-Kunsill (11), jiġifieri l-elementi kollha relatati mas-saħħa, b'mod partikolari l-istat tas-saħħa, inklużi l-morbożità u d-diżabbiltà, il-fatturi determinanti li għandhom effett fuq l-istat tas-saħħa, il-bżonnijiet fil-qasam tal-kura tas-saħħa, ir-riżorsi allokati għall-kura tas-saħħa, il-forniment tal-kura tas-saħħa u l-aċċess universali għaliha, kif ukoll l-infiq u l-finanzjament tal-kura tas-saħħa, u l-kawżi ta' mortalità. Tali pproċessar ta' data dwar is-saħħa għal raġunijiet ta' interess pubbliku ma għandux jirriżulta fl-ipproċessar ta' data personali għal finijiet oħra minn partijiet terzi bħal min iħaddem, kumpanniji tal-assigurazzjoni u kumpanniji bankarji.

_{(11) Regolament (KE) Nru 1338/2008 tal-Parlament Ewropew u tal-Kunsill tas-16 ta' Diċembru 2008 dwar l-istatistika Komunitarja dwar is-saħħa pubblika u s-saħħa u s-sigurtà fuq ix-xogħol (ĠU L 354, 31.12.2008, p. 70). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:2008:354:TOC}

(55) Barra minn hekk, l-ipproċessar ta' data personali minn awtoritajiet uffiċjali bil-għan li jinkisbu l-miri, stabbiliti mil-liġi kostituzzjonali jew mil-liġi pubblika internazzjonali, ta' assoċjazzjonijiet reliġjużi rikonoxxuti uffiċjalment jitwettaq għal raġunijiet ta' interess pubbliku.

(56) Fejn, matul attivitajiet elettorali, l-operat tas-sistema demokratika fi Stat Membru teħtieġ li l-partiti politiċi jikkompilaw data personali dwar l-opinjonijiet politiċi tan-nies, l-ipproċessar ta' din id-data jista' jkun permess għal raġunijiet ta' interess pubbliku, dment li jiġu stabbiliti salvagwardji adatti.

(a) is-suġġett tad-data jkun ta kunsens espliċitu għall-ipproċessar ta’ dik id-data personali għal fini speċifiku wieħed jew aktar, għajr fejn il-liġi tal-Unjoni jew il-liġi ta’ Stat Membru tipprevedi li l-projbizzjoni msemmija fil-paragrafu 1 ma tistax titneħħa mis-suġġett tad-data;

Комментарий эксперта ISO 27701 Связанные статьи

Комментарий эксперта

Первое исключение основано на «явном согласии«. Согласие, предусмотренное в статье 9, отличается от общего понятия согласия, предусмотренного в статье 6, в одном важном аспекте: оно должно быть явно выражено соответствующим лицом. Следовательно, согласие должно быть свободно выраженным, конкретным, осознанным и недвусмысленным в соответствии с определением, содержащимся в статье 4 (11), и, помимо этих требований, оно должно быть «явно выраженным«.

Какая форма согласия считается «явно выраженной» и, следовательно, действительной в соответствии со статьей 9? Чувствительная природа соответствующих данных влечет за собой согласие, выходящее за рамки обычного «заявления или явного позитивного действия» [статья 4(11)] со стороны субъекта данных. Это означает, что субъект данных должен давать «прямое заявление о согласии» (Руководство по согласию) даже в том случае, если услуги предоставляются на договорной основе. Явно выраженное согласие необходимо, поскольку статья 9 (2) не предусматривает исключений по договору, на которые мог бы полагаться контролер.

В Руководстве по согласию предполагается, что может потребоваться письменное заявление или даже подписанное письменное заявление, несмотря на то, что GDPR не предписывает такую форму согласия. Подписанное согласие может быть релевантно, если данные о состоянии здоровья собираются, например, в контексте услуг, предлагаемых частной клиникой или домом престарелых. Пластическому хирургу может понадобиться собрать информацию о состоянии здоровья клиента или раскрыть данную информацию для того, чтобы запросить экспертное мнение одного из его коллег. Руководители дома престарелых должны будут собрать информацию о состоянии здоровья пенсионера, чтобы договориться о необходимых услугах, которые должны быть оказаны во время его пребывания.

Подписанное письменное заявление не так практично в цифровой или онлайн-среде. Как человек может дать согласие, если, например, он покупает билет на самолет онлайн и нуждается в специальной медицинской помощи во время посадки на рейс, во время полета или по прибытии в пункт назначения? Действительное согласие будет также трудно получить, если человек сделает онлайн-заказ на покупку специальных очков, так как продавец должен собрать связанную со здоровьем информацию о зрении покупателя и поделиться ею с производителем.

Простое следование по ссылке или отметка поля в приведенных примерах могут быть расценены как недостаточное согласие. Руководство по согласию рекомендуют другие формы согласия, такие как заполнение электронной формы, использование электронной подписи, запись устного заявления или проведение двухэтапной верификации (например, отметка поля в форме и последующее подтверждение согласия по электронной почте).

Статья 9 предписывает, что лицо должно давать согласие «для одной или нескольких конкретных целей«. Это требование выходит за рамки «конкретного» качества согласия, требуемого пунктом 11 статьи 4. Цели должны быть четко определены, что подразумевает, что согласие должно быть привязано к конкретным данным или точным категориям данных, которые контролер будет вправе обрабатывать.

Вы должны всегда помнить, что GDPR не является полным изложением законодательства о защите данных в конкретном государстве-члене ЕС. И это особенно релевантно в отношении защиты специальных категорий персональных данных, так как здесь имеют место исключения из исключений. Согласие является недействительным правовым основанием для обработки специальных категорий персональных данных, если в законодательстве государства запрещена отмена запрета на обработку специальных категорий персональных данных физическим лицом, что разрешено в соответствии с GDPR.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 9(2)(a) GDPR:

7.2.4 Получение и регистрация согласия

Средство управления

Организация должна получать и регистрировать согласие субъектов ПИИ согласно задокументированным процессам.

Руководство по внедрению

Организация должна получить и зарегистрировать согласие субъекта ПИИ таким образом, чтобы по запросу она могла предоставить подробности предоставленного согласия (например, время, когда оно было предоставлено, личность субъекта ПИИ и заявление о согласии).

…

Войти
для доступа к полному тексту

Связанные статьи

(b) l-ipproċessar ikun meħtieġ għall-finijiet tat-twettiq tal-obbligi u l-eżerċizzju ta’ drittijiet speċifiċi tal-kontrollur jew tas-suġġett tad-data fil-qasam tal-liġi dwar l-impjiegi u dwar il-protezzjoni soċjali u s-sigurtà soċjali sa fejn dan ikun awtorizzat mil-liġi tal-Unjoni jew mil-liġi ta’ Stat Membru jew minn ftehim kollettiv skont il-liġi ta’ Stat Membru li jipprevedu salvagwardji xierqa għad-drittijiet fundamentali u l-interessi tas-suġġett tad-data;

Комментарий эксперта

Обработка специальных категорий персональных данных в области занятости, социального обеспечения и социальной защиты возможна только в том случае, если она является «необходимой» (о необходимости и принципах соразмерности см. в общем комментарии ниже) и отвечает двум другим условиям:

она разрешена правом Европейского Союза или законодательством государства-члена или коллективным договором; и
имеются надлежащие гарантии для защиты основных прав и интересов индивидов.

Европейское регулирование в основном ссылается на законодательство государств-членов, чтобы признать существование исключений и установить, соблюдаются ли основные права отдельных лиц. Таким образом, не существует общих правил, применимых в отношении всего Союза, и исключение должно рассматриваться отдельно в каждом государстве. Контролер должен ссылаться на конкретное правовое положение, разрешающее обработку персональных данных в соответствии с законодательством о занятости, социальном обеспечении или социальной защите.

Государства-члены могут разрешить работодателям собирать персональные данные для предоставления своим работникам полисов медицинского страхования, вести учет отпусков по болезни, беременности и родам или по уходу за ребенком, вычитать профсоюзные взносы из зарплатных ведомостей или обеспечивать особые условия труда или благоприятную рабочую обстановку для лиц с ограниченными возможностями. Они также могут разрешить страховщикам, например, обрабатывать данные о здоровье для выплаты работникам пособий по несчастным случаям или инвалидности.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

(c) l-ipproċessar ikun meħtieġ għall-protezzjoni tal-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra fejn is-suġġett tad-data ma jkunx fiżikament jew legalment kapaċi li jagħti l-kunsens;

Комментарий эксперта

В соответствии со статьей 9 (2)(с), обработка специальных категорий персональных данных допускается, если она «необходима» (о необходимости и принципах соразмерности см. в общем комментарии ниже) для защиты жизненно важных интересов лица или третьих лиц. Такое исключение, как защита жизненно важных интересов, аналогично статье 6 (1) (d) правового основания для обработки данных, за исключением того, что оно применяется только в том случае, если вы не можете получить согласие лица.

Сфера действия исключения ограничена, поскольку оно касается только защиты «жизненно важного интереса» лица, т.е. «интереса, имеющего существенное значение для [его] жизни» (Преамбула 46). Жизненно важный интерес включает в себя угрозы физической неприкосновенности или жизни лица или третьего лица. Иными словами, речь должна идти о жизни и смерти, несмотря на то, что Преамбула 46, как представляется, расширяет сферу действия исключения. Согласно Преамбуле 46, данное основание может также применяться к гуманитарным ситуациям, таким как мониторинг эпидемий или оказание помощи в случае стихийных или антропогенных бедствий.

Второе условие резко ограничивает сферу действия исключения в отношении жизненно важных интересов: на него можно ссылаться только в том случае, если лицо физически или юридически не способно дать согласие. Это может произойти, например, в том случае, если лицо находится в бессознательном состоянии или не может дать согласие в силу своего правового статуса, как, например, несовершеннолетний или совершеннолетний, находящийся под опекой или попечительством. В соответствии с пунктом 2 а) статьи 9, когда это возможно, следует запрашивать явно выраженное согласие. Вы не можете полагаться на исключение, касающееся жизненно важных интересов, в качестве альтернативного варианта, если лицо способно дать согласие и отказалось от него.

Исключение, касающееся жизненно важных интересов, особенно полезно в чрезвычайных медицинских ситуациях. Например, если какое-либо лицо получило опасную для жизни травму, медицинскому персоналу может понадобиться его история болезни, чтобы принять решение о надлежащем лечении. Поскольку это лицо не в состоянии дать свое согласие, больнице необходимо правовое основание для обработки данных о его здоровье, и исключение, касающееся жизненно важных интересов, может оказаться таковым. Оно также может быть применимо в случае эпидемий. Например, может возникнуть ситуация, когда не все инфицированные лица могут своевременно дать свое согласие для обработки данных медицинским персоналом в целях защиты жизненно важных интересов третьих лиц.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

(d) l-ipproċessar isir waqt l-attivitajiet leġittimi tiegħu b’salvagwardji adatti minn fondazzjoni, assoċjazzjoni jew kwalunkwe korp ieħor mingħajr skop ta’ qligħ b’għan politiku, filosofiku, reliġjuż jew ta’ trade union u bil-kondizzjoni li l-ipproċessar ikun relatat biss mal-membri jew ex membri tal-korp jew ma’ persuni li għandhom kuntatt regolari miegħu b’rabta mal-finijiet tiegħu u li d-data personali ma tkunx żvelata barra dak il-korp mingħajr il-kunsens tas-suġġetti tad-data;

Комментарий эксперта

GDPR содержит специальное исключение для обработки особых категорий персональных данных следующими типами организаций:

ассоциации;
фонды; и
другие некоммерческие организации.

Перечень является закрытым и ограничивается именно этими типами организаций, исключая любые другие типы. Поскольку правовой статус некоммерческих и благотворительных организаций в Европейском Союзе не является единым, не следует придавать слишком большое значение названию соответствующего учреждения. Использование термина «другие некоммерческие организации» подтверждает, что перечень носит иллюстративный характер, а точный характер организации зависит от правовой формы и структуры, которую предоставляют ей государства-члены.

Речь идет скорее о целях и задачах организации, а не о ее точном наименовании, поскольку она должна преследовать одну из следующих задач:

политические;
философские;
религиозные; или
профсоюзные.

Перечень касается ограниченного числа видов деятельности и не может быть расширен. Определение целей политических партий, религиозных организаций и профсоюзов доста не является затруднительным. Однако категорию “философская цель” не так легко определить. Например, организация, занимающаяся вопросами, относящимися к экологии, вегетарианству или к борьбе с видовой дискриминацией, может быть квалифицирована как преследующая философскую цель в зависимости от законодательства государства-члена. Насколько эта категория может быть расширена, будет зависеть от толкования этого положения Судом Европейского Союза.

Эти организации должны обрабатывать специальные категории персональных данных только в ходе своей «легитимной деятельности» . Это означает, что обработка должна быть непосредственно связана с политической, философской, религиозной или профсоюзной деятельностью организации. Ассоциация, фонд или любая другая некоммерческая организация не может ссылаться на это исключение для обработки специальных категорий персональных данных, которые не имеют тесной связи с ее основной деятельностью в рамках целей и компетенций, изложенных в ее уставных документах.

GDPR требует, чтобы организации обращались со специальными категориями персональных данных с предоставлением соответствующих гарантий. При этом не совсем ясно, что именно имелось в виду законодателем при принятии этого дополнительного условия. Очевидно, что это подразумевает принятие надлежащих мер безопасности для защиты обрабатываемых данных в связи с их чувствительной природой. Данные также должны быть доступны только тем лицам, которые должны работать с ними для достижения целей организаций.

Из этого логически вытекает, что персональные данные не могут быть переданы за пределы организации, однако статья 9 2) d) допускает такую передачу с согласия соответствующих лиц. Например, организация не может делиться списком ее членов с другими организациями, если не было получено согласие каждого из них. На мой взгляд, нет никаких юридических препятствий для продажи этого же списка в целях финансирования деятельности организации, если ее члены дают согласие на передачу их персональных данных. Организация также должна получить согласие на то, чтобы назвать имя любого из участников, например, в рамках кампании по сбору средств или в ежегодном отчете.

Сфера действия исключения ограничивается обработкой специальных категорий персональных данных, касающихся i) членов организации, ii) бывших членов или iii) лиц, которые имеют с ней «регулярный контакт» в связи с ее целями. К этому перечню не относятся сотрудники или потенциальные члены организации до их вступления в организацию, но могут относиться партнеры, вкладчики или постоянные бенефициары услуг организации, которые формально не являются ее членами.

Данное исключение из общего правила о том, что специальные категории персональных данных не могут обрабатываться, позволяет организациям, которые обязаны своим существованием исключительно достижению одной из указанных целей, обрабатывать данные, необходимые для своей деятельности. Каким образом будет существовать политическая партия, если она не может обрабатывать данные о политических убеждениях своих участников? То же самое касается и профсоюзов, которые должны обрабатывать данные об их членах, а также церквей, которые должны обрабатывать данные, раскрывающие религиозные убеждения верующих в ходе своей обычной деятельности (см. ст. 91).

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

(e) l-ipproċessar ikun relatat ma’ data personali li b’mod ċar tkun saret pubblika mis-suġġett tad-data;

Комментарий эксперта Руководство и прецедентное право

Комментарий эксперта

(EN) The European legislator introduced an exception – for special categories of personal data which are manifestly made public by a person – that seems completely logical at first glance. If a person willingly shares her/his data, it sounds reasonable to allow the processing of these data by third parties. On second thought, many questions come to mind. What does “manifestly” mean? When are data “public”? How to determine if a person intended to make her/his data public?

The exception does not concern all special categories of data publicly available. It applies strictly to data that an individual personally disclosed. It must be a publication that results from a clear and voluntary decision from an individual to disclose information about her/him. It should not be an accidental, inadvertent, involuntary or unintentional disclosure. It should be the result of a free and deliberate decision. The individual must be fully conscious that s/he made her/his data public. Thus, it excludes leaked data, data accessible after a security breach or data shared unintentionally or by inadvertence…

…

Войти
для доступа к полному тексту

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

Руководство и прецедентное право

(EN) EDPB, Guidelines 8/2020 on the targeting of social media users (2020):

The word “manifestly” implies that there must be a high threshold for relying on this exemption.The EDPB notes that the presence of a single element may not always be sufficient to establish that the data have been “manifestly” made public by the data subject. In practice,a combination of the following or other elements may need to be considered for controllers to demonstrate that the data subject has clearly manifested the intention to make the data public, and a case-by-case assessment is needed. The following elements may be relevant to help inform this assessment:

the default settings of the social media platform (i.e. whether the data subject took a specific action to change these default private settings into public ones); or

the nature of the social media platform (i.e. whether this platform is intrinsically linked with the idea of connecting with close acquaintances of the data subject or creating intimate relations (such as online dating platforms), or if it is meant to provide a wider scope of interpersonal relations, such as professional relations, or microblogging, etc… ; or

the accessibility of the page where the sensitive data is published (i.e. whether the information is publically accessible or if, for instance, the creation of an account is necessary before accessing the information); or

the visibility of the information where the data subject is informed of the public nature of the information that they publish (i.e. whether there is for example a continuous banner on the page, or whether the button for publishing informs the data subject that the information will be made public…); or

if the data subject has published the sensitive data himself/herself, or whether instead the data has been published by a third party (e.g. a photo published by a friend which reveals sensitive data) or inferred.

The EDPB notes that the presence of a single element may not always be sufficient to establish that the data have been “manifestly” made public by the data subject. In practice,a combination of these or other elements may need to be considered for controllers to demonstrate that the data subject has clearly manifested the intention to make the data public.

(f) l-ipproċessar ikun meħtieġ għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali jew kull darba li l-qrati jkunu qed jaġixxu fil-kapaċità ġudizzjarja tagħhom;

Комментарий эксперта

“Юридическое” исключение состоит из двух отдельных частей:

обработка, необходимая для заявления, осуществления или защиты законного требования, и
осуществление правосудия судами.

1) Исключение в отношении законных требований в контексте статьи 9 носит широкий характер и не ограничивается находящимися на рассмотрении судов. Оно применяется как к текущим, так и к будущим судебным разбирательствам. Лицо может быть вынуждено раскрыть персональные данные для получения юридической консультации, сообщить о ситуации, которая потенциально может привести к судебному иску, или подготовиться к будущему судебному разбирательству, даже если еще не было возбуждено ни одной процедуры в суде. Это исключение может касаться административных или судебных разбирательств, а также внесудебных процедур (Преамбула 52).

Ключевое словосочетание в подпункте f) пункта 2 — «необходима» (о принципе необходимости см. ниже в общем комментарии). Использование личной информации должно быть необходимым для установления, осуществления или защиты прав. При этом также предстоит определить, какие средства являются необходимыми в контексте GDPR. Ссылка на принцип общей необходимости в праве Европейского Союза должна привести к обоснованию использования персональных данных для “юридического” исключения на основе объективных доказательств. Должна существовать существенная связь между обработкой и данными, обрабатываемыми в контексте конкретного случая.

Использование персональных данных также должно быть пропорциональным (о принципе пропорциональности см. в общем комментарии ниже): оно не должно выходить за рамки того, что необходимо для достижения преследуемой цели. Используемые данные должны быть адекватными и актуальными «заявления, исполнения или защиты законных требований«, а их использование должно ограничиваться тем, что необходимо. Другими словами, не следует использовать больше данных, чем необходимо для достижения поставленной цели.

Примером использования персональных данных до начала любого судебного разбирательства может служить случай, когда Вы должны сообщить о несчастном случае Вашей страховой компании. В конечном счете, Вашей страховой компании придется обрабатывать данные, касающиеся Вашего здоровья или здоровья других лиц, причастных к несчастному случаю. Это не означает, что иск будет подан в суд, а если и будет, то он не будет рассмотрен до начала судебного разбирательства.

Могу привести еще один пример, касающийся установления защиты по фактическому иску. Ваш сотрудник подает на Вас в суд после того, как на рабочем месте произошел несчастный случай. Вы должны будете поделиться с Вашим адвокатом деталями происшествия, в том числе имеющейся в вашем распоряжении информацией о травмах, полученных вашим сотрудником. Поскольку эти данные считаются информацией, связанной со здоровьем, вы должны будете ссылаться на исключение, предусмотренное в пункте 2) (f).

2) Вторая часть правового исключения касается осуществления правосудия судами. Исключение необходимо для сохранения независимости правосудия (Преамбула 20), что также обеспечивает соблюдение правовых гарантий, предусмотренных европейскими и национальными документами о правах и свободах. В GDPR не уточняется сфера действия выражения «в рамках осуществления правосудия судами«, за исключением того, что оно включает в себя процесс принятия решений (Преамбула 20).

В статье 9 упоминаются только «суды«, а Преамбула 97, по-видимому, распространяет исключение на «независимые судебные органы«. Даже если это не так, толкование термина «суд» может привести к такому расширению. В связи с этим возникают вопросы по многим существующим процедурам, возглавляемым квазисудебными органами, такими как арбитры, третейские суды или государственные административные органы. Они проводят разбирательства, в ходе которых должны быть гарантированы права и свободы участвующих сторон, они определяют факты, толкуют законодательство и имеют полномочия на вынесение решений, как и любые другие суды.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

(g) l-ipproċessar ikun meħtieġ għal raġunijiet ta’ interess pubbliku sostanzjali, fuq il-bażi tal-liġi tal-Unjoni jew ta’ Stat Membru, li għandha tkun proporzjonata mal-għan segwit, tirrispetta l-essenza tad-dritt għall-protezzjoni tad-data u tipprevedi miżuri xierqa u speċifiċi sabiex tissalvagwardja d-drittijiet fundamentali u l-interessi tas-suġġett tad-data;

Комментарий эксперта

Исключение «публичного интереса» характеризуется большим количеством условий и, следовательно, ограниченной сферой его применения:

Обработка должна быть необходима;
она должна основываться на праве Союза или государства-члена; и
право Союза или государства-члена должно:

— быть соразмерным преследуемой цели;

— уважать суть права на защиту данных; и

— гарантировать надлежащие и конкретные меры по защите основных прав и интересов соответствующих лиц.

Термин «существенный публичный интерес» не определен в GDPR. Поскольку в этом исключении речь идет о праве Союза или государства-члена, статья 9 2)(g) дает национальным юрисдикциям свободу усмотрения при решении на локальном уровне вопроса о том, что представляет собой «существенный публичный интерес«. Очевидно, что «существенный» публичный интерес требует достижения более высокого стандарта, чем просто ”публичный интерес”. Если в последнем случае речь идет об общественном благе и о том, что отвечает наилучшим интересам общества, то в первом случае речь идет о реальном и ощутимом интересе, т.е. интересе, имеющем существенное значение. Существенный публичный интерес может быть связан с осуществлением основных прав и свобод, таких как организация избирательного процесса или поддержание порядка и безопасности, например борьба с терроризмом.

Закон о защите данных 2018 года, например, признает двадцать три (23) случая, когда в Соединенном Королевстве затрагивается существенный публичный интерес. Исключения варьируются от отправления правосудия до защиты детей, относящихся к группе риска, и распространяются на равенство возможностей, борьбу с допингом в спорте или публикацию юридических решений. В этих примерах трудно провести различие между тем, что отвечает общим публичным интересам, и тем, что основано на «существенных» публичных интересах.

Исключение, основанное на «существенных» публичных интересах, не применяется к особым категориям личных данных, которые уже подпадают под исключение, предусмотренное в статье 9, например, в области общественного здравоохранения [пункт 2, подпункт (i)]. Иногда бывает сложно решить, какое из исключений применимо. Необходимо обратиться к конкретным обстоятельствам дела и внимательно изучить факты, чтобы решить, какое из них является наилучшим правовым основанием для обработки специальных категорий персональных данных.

Законодательство государства-члена может потребовать от политических партий собирать персональные данные о политических убеждениях граждан в ходе избирательного процесса на основании исключения “существенного публичного интереса” (Преамбула 56). Оно отличается от исключения в отношении фондов, ассоциаций или некоммерческих организаций [статья 9 2) d)] в одном аспекте: сбор данных требуется законом и не осуществляется в рамках основной деятельности политической партии. Это также освобождает организацию от получения согласия своих членов на разглашение собранных персональных данных соответствующим органам власти.

Недавно меня спросили о надлежащей правовой базе для обработки данных об учащихся с ограниченными возможностями. Школа должна собирать и использовать эти данные, чтобы предлагать детям услуги, адаптированные к их способностям к обучению. Информацию об особенностях здоровья следует рассматривать как данные, связанные со здоровьем, и, следовательно, как специальную категорию персональных данных. Они не могут обрабатываться, если нет конкретного исключения, на которое можно ссылаться.

Представляется невозможным полагаться на исключение в области общественного здравоохранения [см. параграф 2, подпункт (i) комментария]. Если законодательство государства-члена, в котором функционирует школа, предусматривает исключение для обработки специальных категорий персональных данных в целях образования детей с ограниченными возможностями, то исключение “существенного публичного интереса” будет соответствующим правовым основанием. Так как можно было бы получить четкое согласие [параграф 2, подпункт (а)] на обработку таких данных, этот вариант также должен быть рассмотрен в данных обстоятельствах. После этого школа должна будет соблюдать другие требования, изложенные в статье 9 2) (g).

Я уже обсуждал принцип необходимости в приведенном ниже общем комментарии, и я отсылаю читателей к нему, а также к принципу соразмерности, который должен соблюдаться правом Союза или государства-члена. В европейском или национальном праве также должна поддерживаться «суть права на защиту данных» и предлагаться «подходящая и конкретная мера» для защиты прав и интересов соответствующих лиц. Поэтому необходимо, чтобы местные органы власти соблюдали Хартию Европейского Союза об основных правах (статья 8) и принципы, изложенные в GDPR.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

(h) l-ipproċessar ikun meħtieġ għall-finijiet ta’ mediċina preventiva jew okkupazzjonali, għall-valutazzjoni tal-kapaċità ta’ ħaddiem għax-xogħol, dijanjosi medika, il-forniment ta’ kura tas-saħħa jew soċjali jew it-trattament jew il-ġestjoni ta’ sistemi u servizzi tal-kura tas-saħħa u soċjali abbażi tal-liġi tal-Unjoni jew tal-liġi ta’ Stat Membru jew skont kuntratt ma’ professjonista fil-kura medika u soġġett għall-kondizzjonijiet u s-salvagwardji msemmija fil-paragrafu 3;

Комментарий эксперта Руководство и прецедентное право

Комментарий эксперта

Статья 9 2) (h) предусматривает исключения в отношении обработки данных, связанных с медицинским и социальным обслуживанием, которые должны быть необходимы (о принципе необходимости см. ниже в комментарии) для:

профилактической медицины;
гигиены труда;
оценки работоспособности работников;
медицинской диагностики;
предоставления медицинской или социальной помощи или лечения; или
управления системами здравоохранения или социального обеспечения.

Это список исчерпывающих исключений, не нуждающийся в более подробном пояснении, за исключением категории “оценка трудоспособности работников”. Она не совпадает с исключением о деятельности в соответствии с законодательством о занятости, социальном обеспечении и социальной защите [подпункт b)], поскольку касается не конфиденциальных данных о работниках в целом, а исключительно данных, необходимых для оценки способности работника выполнять свою работу. Оценку можно проводить, например, с помощью тестирования на наркотики, физических анализов или медицинского осмотра. Цель состоит в том, чтобы выяснить, подходит ли человек для работы на должности, требующей определенных способностей или определенного состояния здоровья.

Как это часто бывает в случае с GDPR, правовое основание для применения исключения следует искать в праве Союза или государства-члена. Знания европейского законодательства недостаточно, необходимо также понимать национальное законодательство соответствующего государства-члена. Правовое основание для обработки в целях медицинского и социального обслуживания также может быть найдено в контракте с медицинским работником, если соблюдены определенные условия и гарантии.

В пункте 3 статьи 9 говорится, что исключение применяется, если оно основано на контракте с медицинским работником, только в том случае, если данные обрабатываются лицом, которое связано профессиональной тайной. Условия и обязательства, связанные с секретностью, могут быть перечислены в праве Европейского союза или в национальном законодательстве, а также могут устанавливаться национальным компетентным органом. Термин «медицинские работники» также оставляется на усмотрение государств-членов. Оно может включать любых специалистов, на которых распространяется обязанность сохранения конфиденциальности, таких как врачи, стоматологи, медсестры, окулисты, физиотерапевты или социальные работники.

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

Руководство и прецедентное право

(EN) EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).

(i) l-ipproċessar ikun meħtieġ għal raġunijiet ta’ interess pubbliku fil-qasam tas-saħħa pubblika, bħall-protezzjoni kontra theddid transkonfinali serju għas-saħħa jew biex jiġu żgurati standards għoljin ta’ kwalità u sikurezza tal-kura tas-saħħa u ta’ prodotti mediċinali jew apparat mediku, fuq il-bażi tal-liġi tal-Unjoni, jew tal-liġi ta’ Stat Membru li tipprevedi miżuri adatti u speċifiċi sabiex jiġu protetti d-drittijiet u l-libertajiet tas-suġġett tad-data, b’mod partikulari s-segretezza professjonali;

Комментарий эксперта Руководство и прецедентное право

Комментарий эксперта

Различие между исключениями в области медицинского и социального обслуживания [подпункт (h)] и исключениями в области общественного здравоохранения не столь очевидно, и в некоторых случаях оба исключения могут дублировать друг друга. Например, первое исключение касается обработки чувствительных данных в целях профилактической медицины, в то время как второе касается трансграничных опасностей для здоровья. Не исключено, что один и тот же набор данных может быть использован в одном и том же случае с одной и той же целью.

Сфера действия статьи 9 2) i) хорошо разграничена: она применяется к обработке чувствительных данных без явно выраженного согласия лица, основанного на подпункте (а) (Преамбула 54), которые необходимы (о принципе необходимости см. ниже в общем комментарии) по соображениям общественного интереса в сфере общественного здравоохранения. Под общественным интересом понимается общественное благо и то, что отвечает наилучшим интересам группы лиц или общества в целом (Преамбула 53). Личный интерес не является достаточным основанием для применения данного исключения, и после обработки данных в соответствии с данным подпунктом они не могут быть переданы третьим лицам, таким как работодатели, страховые компании или банки (Преамбула 54).

Примером может служить сама статья 9 2) i), однако она предлагает неисчерпывающий перечень возможных видов использования. Она включает защиту от серьезных трансграничных угроз здоровью и обеспечение высоких стандартов качества и безопасности медицинской помощи, лекарственных средств и медицинского оборудования. Она включает, например, данные, необходимые для изучения или борьбы с эпидемиями или для планирования программы вакцинации.

Общественное здравоохранение далее определяется как «все элементы, связанные со здоровьем, а именно: состояние здоровья, включая заболеваемость и инвалидность, детерминанты, влияющие на это состояние здоровья, потребности в медицинском обслуживании, ресурсы, выделяемые на здравоохранение, предоставление и всеобщий доступ к медицинскому обслуживанию, а также расходы и финансирование здравоохранения и причины смертности» [Регламент (ЕС) № 1338/2008]. Некоторые аспекты этого определения, несомненно, охватываются исключением в отношении медико-санитарной и социальной помощи [подпункт h)] в качестве управления системами здравоохранения или социальной помощи.

Как это часто бывает в случае с GDPR, правовую основу для исключения следует искать в праве Союза или государства-члена. Знания европейского законодательства недостаточно, необходимо также понимать национальное законодательство соответствующего государства-члена. Государства-члены могут сохранять или вводить дополнительные условия и ограничения, чем те, которые предусмотрены в статье 9 2) (i) [статья 9 (4) и Преамбула 53]. Кроме того, они должны гарантировать основные права лиц и защиту их персональных данных в соответствии с законом (Преамбула 53 и 54).

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

Руководство и прецедентное право

(EN)

Legislation

Regulation (EC) No 1338/2008 on Community Statistics on Public Health and Health and Safety at Work, OJEU L 354, 31 December 2008, p. 70.

Documents

EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).

(j) l-ipproċessar ikun meħtieġ għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika f’konformità mal-Artikolu 89(1) fuq il-bażi tal-liġi tal-Unjoni jew ta’ Stat Membru, li għandha tkun proporzjonata mal-għan segwit, tirrispetta l-essenza tad-dritt għall-protezzjoni tad-data u tipprevedi miżuri xierqa u speċifiċi sabiex tissalvagwardja d-drittijiet fundamentali u l-interessi tas-suġġett tad-data.

Комментарий эксперта Руководство и прецедентное право Связанные статьи

Комментарий эксперта

Исключения, предусмотренные в статье 9 2) j), охватывают широкий круг вопросов и могут оказаться существенными для всего общества и будущих поколений. Они касаются четырех (4) различных сфер:

архивы;
научные исследования;
исторические исследования; и
статистика.

Исключение в отношении архивирования, исследования и статистики должно соответствовать перечню условий:

Обработка должна быть необходима;
она должна основываться на праве Союза или государства-члена; и
право Союза или государства-члена должны:

— быть соразмерным преследуемой цели;
— уважать суть права на защиту данных; и
— гарантировать надлежащие и конкретные меры по защите основных прав и интересов соответствующих лиц.

Я уже обсуждал принцип необходимости в приводимом ниже общем комментарии, и хотел бы сослаться на него, а также на принцип пропорциональности, который должен соблюдаться законом Союза или государства-члена. Европейское или национальное законодательство должно также защищать «сущность права на защиту данных» и предлагать «подходящие и конкретные меры» для защиты прав и интересов соответствующих лиц. Поэтому необходимо, чтобы местные органы власти соблюдали Хартию Европейского Союза об основных правах (статья 8) и принципы, изложенные в GDPR. Статья 89 предусматривает более конкретные положения о гарантиях и отступлениях, связанных с обработкой конфиденциальных данных в контексте исключения архивирования, исследований и статистики, и я приглашаю вас ознакомиться с моим комментарием, касающимся этого положения.

Что касается исключения в отношении архивирования, то вы должны дополнительно продемонстрировать, что обработка данных отвечает общественным интересам. Личный, корпоративный или финансовый интерес не является достаточным основанием для применения данного исключения, вы должны быть в состоянии продемонстрировать, что вы обрабатываете специальные категории персональных данных для общественного блага и в наилучших интересах группы лиц или общества в целом (Преамбула 53).

Архивы представляют собой “государственные органы, а также государственные или частные организации, которые «имеют юридическое обязательство приобретать, сохранять, оценивать, организовывать, описывать, передавать, распространять и обеспечивать доступ к документам» (Преамбула 158). Например, расследование убийства может оправдать архивирование чувствительных данных в общественных интересах. Сбор информации о политическом поведении при бывших тоталитарных государственных режимах или в связи с геноцидом и преступлениями против человечности является еще одним примером» (Преамбула 158). После этого архивные данные могут использоваться для различных целей, в том числе для научных исследований (Преамбула 162).

Научные исследования, основанные на государственных и частных реестрах, могут обеспечить более глубокое изучение широко распространенных заболеваний, таких как сердечно-сосудистые заболевания, рак или депрессия (Преамбула 157). Архивы могут также позволить исследователям установить взаимосвязь между безработицей или образованием и другими жизненными условиями в долгосрочной перспективе (Преамбула 157). Таким образом, можно проводить политику, основанную на приобретенных знаниях, с целью предоставления более качественных социальных услуг или улучшения качества жизни населения (Преамбула 157).

Исключение, связанное с научными исследованиями, направлено на создание европейского исследовательского пространства для поощрения притока исследователей, научных знаний и технологий [статья 179(1) ДФЕС]. Оно должно толковаться широко в соответствии с GDPR, и относится как к исследованиям, финансируемым государственным сектором, так и к исследованиям, финансируемым частным сектором (Преамбула 159).

Клинические исследования, проводимые в общественных интересах и отвечающие другим критериям подпункта (j), должны основываться на этом исключении, а не на прямом согласии [подпункт (а) и Регламент (ЕС) № 536/2014, статья 29], рекомендует Европейский совет по защите данных (Заключение 3/2019). Это наиболее надежное основание, поскольку исследования могут быть осложнены, если лица отзовут свое согласие в период проведения исследований или после их завершения.

Классическим примером является фармацевтическая компания, которая проводит клинические испытания нового препарата. Если она полагается на явно выраженное согласие [подпункт (а)], то это может привести к неблагоприятным последствиям. Лица, участвующие в испытании, могут изменить свое мнение на последней стадии исследования и принять решение отозвать свое согласие. Такая ситуация поставит под угрозу весь процесс и лишит общество потенциальной пользы от нового препарата. Фармацевтические компании могут дать дополнительные гарантии, используя в ходе исследования анонимизированные или псевдонимизированные данные, чтобы уменьшить воздействие на участников исследования и компенсировать невозможность отозвать свое согласие, если в ходе исследования будет использовано исключение “права на проведение научного исследования”.

Статистические цели определяются как «любая операция по сбору и обработке персональных данных, необходимая для проведения статистических исследований или получения статистических результатов» (п. 162). Статистические данные должны разрабатываться, производиться и распространяться в соответствии с шестью (6) принципами: беспристрастность, надежность, объективность, независимость, целесообразность и конфиденциальность [статья 338 (2) ДФЕС].

Результатом сбора статистических данных должны становиться «агрегированные данные”, а не «персональные данные«, что означает, что они не должны касаться каких-то конкретных лиц, а должны представлять собой абстрактные данные, касающиеся группы анонимных лиц (Преамбула 162). Полученная таким образом статистика не может быть использована для принятия решений в отношении любых затрагиваемых лиц (Преамбула 162). Кроме того, чувствительная информация, собранная в статистических целях, должна быть защищена соответствующими правовыми и техническими мерами защиты (Преамбула 163).

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

Руководство и прецедентное право

(EN)

Document

EDPB, Opinion 3/2019 Concerning the Questions and Answers on the Interplay Between the Clinical Trials Regulation (CTR) and the General Data Protection Regulation (GDPR) (art. 70.1.b)) (2019).

EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).

Legislation

Regulation (EU) No 536/2014 on Clinical Trials on Medicinal Products for Human Use, OJEU L 158, 27 May 2014, p. 1.

Связанные статьи

Artikolu 89 RĠPD (GDPR). Salvagwardji u derogi relatati mal-ipproċessar għal finijiet ta' arkivjar fl-interess pubbliku, għal finijiet ta' riċerka xjentifika jew storika jew għal finijiet ta' statistika

1. L-ipproċessar għal finijiet ta’ arkivjar fl-interess pubbliku, għal finijiet ta’ riċerka xjentifika jew storika jew għal finijiet ta’ statistika, għandu jkun soġġett għal salvagwardji xierqa, f’konformità ma’ dan ir-Regolament, għad-drittijiet u l-libertajiet tas-suġġett tad-data. Dawk is-salvagwardji għandhom jiżguraw li jkunu fis-seħħ miżuri tekniċi u organizzattivi b’mod partikolari sabiex jiġi żgurat ir-rispett tal-prinċipju ta’ minimizzazzjoni tad-data. Dawk il-miżuri jistgħu jinkludu psewdonimizzazzjoni, sakemm dawk il-finijiet jistgħu jiġu sodisfatti b’dak il-mod. Fejn dawk il-finijiet jistgħu jiġu sodisfatti bi pproċessar ulterjuri li ma jippermettix jew ma għadux jippermetti l-identifikazzjoni ta’ suġġetti tad-data dawk il-finijiet għandhom jiġu sodisfatti b’dak il-mod.

[…]

3. Id-data personali msemmija fil-paragrafu 1 tista’ tiġi pproċessata għall-finijiet imsemmija fil-punt (h) tal-paragrafu 2 meta dik id-data tiġi pproċessata minn professjonista jew taħt ir-responsabbiltà tiegħu li jkun soġġett għall-obbligu ta’ segretezza professjonali skont il-liġi tal-Unjoni jew ta’ Stat Membru jew regoli stabbiliti minn korpi kompetenti nazzjonali jew minn persuna oħra li tkun ukoll soġġetta għal obbligu ta’ segretezza skont il-liġi tal-Unjoni jew ta’ Stat Membru jew ir-regoli stabbiliti minn korpi kompetenti nazzjonali.

4. L-Istati Membri jistgħu jżommu jew jintroduċu aktar kondizzjonijiet, inklużi limitazzjonijiet, fir-rigward tal-ipproċessar ta’ data ġenetika, data bijometrika jew data dwar is-saħħa.

Regolament Ġenerali dwar il-Protezzjoni tad-Data (RĠPD, GDPR)

Комментарий эксперта ISO 27701 Преамбулы Руководство и прецедентное право Оставить комментарий

Комментарий эксперта

Некоторые персональные данные ввиду их чувствительного характера относятся к специальным категориям в GDPR. Обработка данных, относящихся к одной из этих восьми (8) категорий, действительно представляет «значительные риски для основных прав и свобод» человека (Преамбула 51). Риски различаются в зависимости от типа задействованных данных. В первом параграфе статьи 9 перечислены все типы охватываемых данных, однако эти категории не являются легко объяснимыми. Наглядный перечень, разбитый на восемь пунктов, помогает прояснить сферу охвата положения и то, какие данные считаются «специальными» согласно европейским правилам:

данные, раскрывающие расовое или этническое происхождение;
данные, раскрывающие политические взгляды;
данные, раскрывающие религиозные или философские убеждения;
данные о членстве в профсоюзе;
генетические данные;
биометрические данные, используемые для идентификации человека;
данные о здоровье; и
данные, касающиеся половой жизни или сексуальной ориентации человека.

Данный перечень следует считать исчерпывающим, поскольку исключения должны толковаться строго. Следовательно, никакое другое исключение не может быть допущено Судом Европейского Союза или законодательством государств-членов. Персональные данные, касающиеся судимостей и правонарушений, не упоминаются в этом перечне, так как они подпадают под другой правовой режим (статья 10).

«Специальные категории персональных данных» должны обрабатываться в соответствии с особыми правилами обработки, главным образом, в целях защиты лиц от дискриминации (Преамбула 71). Обработка специальных категорий персональных данных также может привести к физическому, материальному или моральному ущербу, включая хищение личных данных, мошенничество, нанесение вреда репутации или нарушение профессиональной тайны (Преамбула 75).

Данные, связанные с расовым или этническим происхождением, включают имена, места рождения, родные языки и даже имена родителей того или иного лица. Они считаются чувствительными, поскольку могут раскрыть происхождение человека или его этническую принадлежность.

Политические убеждения можно вывести исходя из анализа деятельности, раскрывающей политические предпочтения человека, к чему относятся членство в политической партии, подписанные петиции, мероприятия, митинги или протесты, в которых человек принимал участие. К данным, раскрывающим политические взгляды индивида также относится информация, отражающая идеи, которые он поддерживает, и, наоборот, отвергает.

К данным, свидетельствующим о том, что человек исповедует какую-либо религию или проявляет интерес к ней, относятся, например, посещение церкви, покупка религиозных книг, участие в религиозных мероприятиях или демонстрациях. Такие данные могут раскрыть религиозную принадлежность человека или свидетельствовать об отсутствии у него религиозных убеждений. Сложнее определить, что обозначает термин “философские убеждения”. Пример из английского прецедентного права демонстрирует, что таковым является искреннее убеждение, которое касается важного аспекта человеческой жизни и поведения, и которое заслуживает уважения в демократическом обществе (Grainger Plc v. Nicholson).

Особая защита данных о членстве в профсоюзе обусловлена реализацией основных прав в трудовой сфере. Отнесение данной информации к особой категории данных защищает людей от дискриминации на работе, которая может быть потенциальным следствием их профсоюзной деятельности, и сохраняет их право на ведение коллективных переговоров наряду с другими правами.

Анализ биологических образцов позволяет получить информацию об «унаследованных или приобретенных генетических характеристиках» человека [Преамбула 34 и статья 4 (13)]. Полученные генетические данные могут раскрыть информацию о происхождении, этнической принадлежности, физиологии или здоровье человека, поскольку причиной некоторых проблем со здоровьем человека являются аномалии в геноме человека.

Биометрические данные — это информация, полученная на основе различных измерений «физических, физиологических или поведенческих характеристик человека» [статья 4 (14)]. Они служат для уникальной идентификации человека, например, по отпечаткам пальцев, рисунку радужной оболочки глаза, чертам лица или модуляции голоса. Фотография не всегда классифицируется как биометрические данные. Она относится к данной категории только в тех случаях, когда при ее обработке выявляются характеристики, позволяющие однозначно идентифицировать человека (Преамбула 51).

…

Войти
для доступа к полному тексту

Автор

Луи-Филипп Граттон PhD, LLM

Эксперт в Privacy

Задать вопрос

ISO 27701

Приводим соответствующий параграф к статье 9 GDPR:

7.2.2. Определение правового основания

Средство управления

Организация должна определить, задокументировать и соблюдать соответствующие правовые основания для обработки ПИИ в определенных целях.

Руководство по внедрению

В некоторых юрисдикциях организация должна иметь возможность продемонстрировать, что законность обработки была должным образом установлена до её осуществления. Правовое основание для обработки ПИИ может включать в себя:

…

Войти
для доступа к полному тексту

Преамбулы

Руководство и прецедентное право

(EN)

Documents

Article 29 Working Party, Opinion 2/2010 on behavioural advertising (2010):

Any possible targeting of data subjects based on sensitive information opens the possibility of abuse. Furthermore, given the sensitivity of such information and the possible awkward situations which may arise if individuals receive advertising that reveals, for example, sexual preferences or political activity, offering/using interest categories that would reveal sensitive data should be discouraged.

In this context, the only available legal ground that would legitimize the data processing would be explicit, separate prior opt-in consent. The requirement for a separate, affirmative prior indication of the data subjects’ agreement means that in no case would an opt-out consent mechanism meet the requirement of the law. It also means that such consent could not be obtained through browser settings. To lawfully collect and process this type of information, ad network providers would have to set up mechanisms to obtain explicit prior consent, separate from other consent obtained for processing in general.

EDPB, Assessing the Necessity of Measures That Limit the Fundamental Right to the Protection of Personal Data: A Toolkit (2017).

WP29, Opinion on data processing at work (2017).

European Commission, Commission Guidance on the application of Union data protection law in the electoral context, A contribution from the European Commission to the Leaders’ meeting in Salzburg on 19-20 September 2018.

EDPB, Guidelines on Assessing the Proportionality of Measures That Limit the Fundamental Rights to Privacy and to the Protection of Personal Data (2019).

EDPB, Guidelines on the use of location data and contact tracing tools in the context of the COVID-19 outbreak (2020).

EDPB, Guidelines 8/2020 on the targeting of social media users (2020).

EDPB, Guidelines 3/2020 on the Processing of Data Concerning Health for the Purpose of Scientific Research in the Context of the Covid-19 Outbreak (2020).

EDPB, Guidelines 3/2019 on Processing of Personal Data through Video Devices (2020).

European Commission, Guidance on Apps supporting the fight against COVID 19 pandemic in relation to data protection Brussels (2020).

EDPB, Guidelines 02/2021 on Virtual Voice Assistants (2021).