Sodišče EU opozarja, da varstvo posebnih kategorij osebnih podatkov velja tudi v primeru morebitnih sklepanj o občutljivih informacijah
+ -Dne 1. 8. 2022 je veliki senat Evropskega sodišča (SEU) izdal predhodno odločitev v zadevi št. C-184/20 (OT v Vyriausioji tarnybinės etikos komisija) v zvezi z razlago določb o posebnih kategorijah osebnih podatkov v smislu 9. člena Splošne uredbe o varstvu podatkov.
Vprašanje pred Sodiščem EU (v nadaljevanju SEU) se je nanašalo na zahtevo po litovskem pravu, da se mora direktor ustanove, ki prejema javna sredstva, izjaviti o svojih zasebnih interesih. Te izjave, vključno z informacijami o interesih posameznikovega "zakonca, zunajzakonskega partnerja ali partnerja", so nato objavljene na spletni strani Glavne komisije za etiko (v nadaljevanju: CEC). CEC je glede manjkajoče izjave direktorja v postopku ugotovila, da je direktor s tem, ko ni vložil take izjave, kršil litovsko zakonodajo. Direktor je nato vložil tožbo za razveljavitev odločitve CEC, kjer je zatrjeval, da je obveznost razkritja zasebnih informacij v nasprotju z določbami Splošne uredbe. Predložitveno sodišče je Sodišču EU poslalo nekaj vprašanj za predhodno odločanje, in sicer glede skladnosti obveznega objavljanja informacij o zasebnih interesih s Splošno uredbo, pri čemer je SEU ugotovilo, da spletna objava večine osebnih podatkov v takšni izjavi ne izpolnjuje zahtev ustreznega ravnovesja in s tem načel sorazmernosti glede na namen objave podatkov (tj. zagotavljanje nepristranskosti oseb, ki delajo v javnih službah).
Z drugim vprašanjem je predložitveno sodišče želelo izvedeti, ali se člen 9(1) GDPR uporablja tudi za osebne podatke, ki bi lahko "posredno razkrili" občutljive informacije o posamezniku. Zadevni litovski zakon je zlasti zahteval objavo imena partnerja zadevnega direktorja, kar bi lahko posredno razkrilo spolno usmerjenost posameznika. Po mnenju SEU je treba koncept posebnih kategorij osebnih podatkov razlagati široko, saj je cilj Splošne uredbe zagotoviti visoko raven varstva temeljnih pravic in svoboščin fizičnih oseb. Posledično je SEU razsodilo, da je, čeprav zadevni osebni podatki sami po sebi ne štejejo kot posebne kategorije osebnih podatkov v skladu s Splošno uredbo, vseeno mogoče iz ostalih povezanih podatkov (npr. imena partnerja direktorja), razbrati nekatere informacije v zvezi s spolno usmerjenostjo posameznika. SEU je s tem razsodilo, da objava teh podatkov posredno razkriva občutljive informacije o posamezniku in jo je zato treba razlagati kot obdelavo posebnih kategorij osebnih podatkov, ki sodi pod prepovedi iz prvega odstavka 9. člena Splošne uredbe.
Nekateri že opozarjajo, da ima odločitev lahko različne posledice in je možen zaključek, da lahko posamezniki, katerih informacije so objavljene na spletu, nasprotujejo takim objavam, če je mogoče iz njih razbrati občutljive informacije (npr. spolna usmerjenost, politična oz. verska prepričanja ipd.) tam, kjer objava ni nujno potrebna za zastavljeni namen. Nekateri pa menijo, da ima sodba lahko daljnosežnejše posledice tudi za različne organizacije, ki bodo sedaj morale preveriti, ali se iz njihovih zbirk osebnih podatkov da razbrati določene posebne kategorije podatkov. To je lahko še posebej pomembno za oglaševalce in druge organizacije, ki obdelujejo t.i. profile posameznikov, na katere se nanašajo osebni podatki, ali sledijo njihovi lokaciji. Takšne povezave pa bo še posebej težko odpraviti pri uporabi strojnega učenja ali umetne inteligence. Odstranjevanje občutljivih kategorij podatkov iz zbirke podatkov tako morda ne bo zadostovalo za izogibanje zahtevam 9. člena Splošne uredbe. Namesto tega bodo morali upravljavci sedaj oceniti, ali aplikacija ne uporablja posrednikov in s tem omogoča sklepanje o občutljivih podatkih posameznika. Če postopek obdelave upoštevaje vse zgoraj navedeno pomeni obdelavo posebnih vrst osebnih podatkov, mora le ta biti utemeljena z eno od zakonitih pravnih podlag, ki dovoljujejo obdelavo posebnih kategorij osebnih podatkov, kot je npr. izrecna privolitev (oz. druge izjeme iz drugega odstavka 9. člena Splošne uredbe).
Celotno odločitev sodišča SEU si lahko preberete na spodnji povezavi: https://curia.europa.eu/juris/document/document.jsf?docid=263721&doclang=EN