Unele temeiuri juridice ale prelucrării datelor cu caracter personal privind sănătatea potrivit articolului 9 din Regulamentul general privind protecția datelor

Regulamentului general privind protecţia datelor (GDPR)^[1] acordă o atenţie deosebită prelucrării datelor privind sănătatea, acestea fiind date sensibile care necesită un nivel mai ridicat de protecţie^[2], motiv pentru care, în principiu, prelucrarea acestora este interzisă. De aceea, şi legalitatea prelucrării acestor date este supusă unor reguli speciale prevăzute în cadrul art. 9 din GDPR.

Amintim că, potrivit art. 4 pct. 15 din GDPR, prin date privind sănătatea înţelegem datele cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia. Considerentul (35) precizează că aceste date pot privi starea de sănătate trecută, prezentă sau viitoare a persoanei vizate şi sunt colectate în cadrul înscrierii acesteia la serviciile de asistență medicală sau în cadrul acordării serviciilor respective persoanei fizice în cauză. Sunt avute în vedere serviciile de asistență medicală a pacienților astfel cum sunt menționate în Directiva 2011/24/UE, adică fără a se ține seama de modul de organizare, de furnizare sau de finanțare a acestora^[3].

Acelaşi considerent menţionează cu titlu exemplificativ ca date privind sănătatea: numărul atribuit unei persoane fizice pentru identificarea singulară a acesteia în scopuri medicale^[4], informațiile rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale (inclusiv din date genetice^[5] și eșantioane de material biologic), precum și orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic sau starea fiziologică sau biomedicală a persoanei vizate, indiferent de sursa acestora^[6].

Subliniem că o corectă determinare a temeiului juridic al prelucrării facilitează operatorilor de date cu caracter personal inclusiv îndeplinirea obligaţiei de informare a persoanelor vizate prevăzută de art. 13 alin. (1) lit. c) şi art. 14 alin. (1) lit. c) din GDPR. De asemenea, temeiul juridic al prelucrării datelor privind sănătatea poate fi inclus ca informaţie complementară în registrul de evidenţă a activităţilor de prelucrare prevăzut de art. 30 din GDPR şi care serveşte operatorului să demonstreze conformitatea activităților de prelucrare cu dispoziţiile Regulamentului (UE) 2016/679, registrul constituind o condiţie prealabilă pentru conformitate şi, în acelaşi timp, o dovadă de asumare a responsabilităţii prelucrării datelor cu caracter personal^[7].

De aceea, în cele ce urmează, vom analiza unele din temeiurile juridice la care pot recurge operatorii de date cu caracter personal în vederea asigurării legalităţii propriilor operaţiuni de prelucrare a datelor privind sănătatea, adică excepțiile de la regula prevăzută de art. 9 alin. (1) din GDPR, potrivit căreia este interzisă prelucrarea datelor sensibile.

1. Prelucrarea efectuată în temeiul consimţământului persoanei vizate

Potrivit art. 9 alin. (2) lit. a) din GDPR, prelucrarea datelor privind sănătatea este permisă atunci când „persoana vizată și-a dat consimțământul explicit (s.n.) pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate”.

Deși persoana vizată își poate da consimțământul pentru prelucrarea datelor sale cu caracter personal privind starea de sănătate pentru unul sau mai multe scopuri specifice^[8], considerentul (42) subliniază că acesta „nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată (s.n.)”. În acest sens, considerentul (43) precizează că, pentru a garanta faptul că a fost acordat în mod liber, „consimțământul nu ar trebui să constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal în cazul particular în care există un dezechilibru evident între persoana vizată și operator (s.n.), în special în cazul în care operatorul este o autoritate publică, iar acest lucru face improbabilă acordarea consimțământului în mod liber în toate circumstanțele aferente respectivei situații particulare”.

La fel, nici în situaţia în care se prelucrează date privind starea de sănătate a persoanei vizate în contextul ocupării unui loc de muncă, „temeiul juridic nu poate și nu ar trebui să fie consimțământul angajaților (…), având în vedere natura relației dintre angajator și angajat”^[9], respectiv dezechilibrul dintre cele două părți.

Totuşi, utilizarea consimțământului ca temei juridic pentru prelucrarea datelor privind starea de sănătate nu este în întregime exclusă de Regulamentul general privind protecţia datelor, astfel că recurgerea la consimțământ poate fi adecvată în anumite situații, cu mențiunea că, spre deosebire de ipoteza prevăzută de art. 6 alin. (1) lit. a) din GDPR, acesta trebuie să fie explicit, în sensul că persoana vizată trebuie să fie conştientă de faptul că renunță la protecția specială oferită de interdicția prelucrării datelor cu caracter personal privind sănătatea sa^[10].

Un exemplu în acest sens este oferit de Grupul de lucru „Articolul 29”^[11]: o clinică de chirurgie estetică poate solicita consimțământul explicit din partea unui pacient pentru transferarea dosarului său medical (un fișier digital) către un expert căruia i se solicită a doua opinie asupra stării pacientului, iar, dată fiind natura specifică a informațiilor în cauză, clinica solicită semnătura electronică a persoanei vizate pentru obținerea consimțământului explicit valabil și pentru a putea demonstra faptul că s-a obținut consimțământul explicit.

Precizăm că, potrivit considerentului (43), consimțământul este considerat a nu fi acordat în mod liber atunci când „executarea unui contract, inclusiv furnizarea unui serviciu, este condiționată de consimțământ, în ciuda faptului că consimțământul în cauză nu este necesar pentru executarea contractului”. De aceea, art. 7 alin. (4) din GDPR prevede că, în cazul evaluării „dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract”.

Precum a subliniat şi Grupul de lucru „Articolul 29”, Regulamentul (UE) 2016/679 garantează faptul că prelucrarea datelor cu caracter personal pentru care se solicită consimțământul nu poate deveni direct sau indirect contraprestația unui contract, iar cele două temeiuri juridice pentru prelucrarea legală a datelor cu caracter personal, și anume consimțământul și contractul, nu pot fi amalgamate și indistincte^[12]. La fel, atunci când serviciile pot fi obținute numai dacă anumite date cu caracter personal sunt comunicate operatorului sau ulterior unor terți, consimțământul persoanei vizate de a divulga datele care nu sunt necesare pentru încheierea sau executarea contractului nu poate fi considerat o decizie liberă și, prin urmare, nu este valabil potrivit Regulamentului general privind protecţia datelor^[13].

Art. 9 alin. (2) din GDPR nu recunoaște situația în care prelucrarea datelor sensibile este „necesară pentru executarea unui contract” – precum se întâmplă în cazul datelor care nu sunt considerate sensibile [art. 6 alin. (1) lit. b) din GDPR] – ca o excepție de la interdicția generală de a prelucra categorii speciale de date, numai contractul încheiat cu un cadru medical putând constitui temei juridic al prelucrării potrivit art. 9 alin. (2) lit. h) din GDPR. Prin urmare, în cazul contractelor încheiate cu alți operatori de date cu caracter personal, aceştia din urmă ar trebui să examineze excepțiile specifice prevăzute la art. 9 alin. (2) lit. b)-j) din GDPR şi numai în cazul în care nu se aplică niciuna dintre aceste excepții, obținerea consimțământului explicit rămâne singura excepție legală la care pot recurge pentru prelucrarea unor astfel de date^[14]. Precizăm că Comitetul european pentru protecția datelor (CEPD)^[15] şi-a însuşit această poziţie^[16].

Pentru ilustrarea acestei situații Grupul de lucru „Articolul 29” a oferit următorul exemplu: dacă o companie aeriană oferă un serviciu de călătorie asistată (aceleaşi zboruri fiind disponibile şi fără acest serviciu) pentru pasagerii care nu pot călători fără asistență (de exemplu, din cauza unui handicap), o clientă solicită asistență de călătorie pentru a putea urca în avion, iar compania aeriană îi cere să furnizeze informații despre starea ei de sănătate pentru a putea planifica serviciile corespunzătoare pentru aceasta (existând mai multe posibilități, precum scaunul cu rotile la poarta de sosire sau un asistent care să călătorească cu pasagera), atunci consimțământul explicit pentru a prelucrarea datelor privind sănătatea acestei cliente în scopul organizării asistenței de călătorie solicitate constituie un temei valabil, cu precizarea că datele astfel prelucrate ar trebui să fie necesare pentru serviciul solicitat^[17]. Cum în această situație datele sunt necesare pentru furnizarea serviciului solicitat, art. 7 alin. (4) din GDPR nu-şi găseşte aplicarea.

Spre deosebire de prelucrarea datelor în temeiul art. 6 alin. (1) lit. a) din GDPR, în cazul datelor sensibile putem întâlni situații în care dreptul Uniunii sau dreptul intern prevede că interdicția prelucrării unor categorii speciale de date cu caracter personal nu poate fi ridicată prin consimțământul persoanei vizate, potrivit art. 9 alin. (4) din GDPR statele membre putând introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date genetice sau de date privind sănătatea.

2. Prelucrarea efectuată pentru îndeplinirea obligațiilor sau exercitarea unor drepturi în domeniul ocupării forței de muncă, al securității sociale ori al protecției sociale

Potrivit art. 9 alin. (2) lit. b) din GDPR prelucrarea datelor privind sănătatea este permisă atunci când „prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale (s.n.), în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate (s.n.)”.