Lengvarský robí ramená pri kontrole covid pasov. Legislatíva ukazuje na rozpor s GDPR

Je covid pass zdravotnou dokumentáciou, alebo nie? A ako je to s ich kontrolou v prevádzkach? Keď sa TREND o túto otázku zaujímal zhruba pred tromi týždňami, odpovede z rezortu zdravotníctva neprichádzali.

Dostali sa nám do rúk papiere podpísané vedúcim sekcie zdravia rezortu, ktoré poukazovali na pravý opak. Vysvetlenie sme vtedy nedostali. Mnohí prevádzkovatelia podnikov v tom stále nemajú jasno. Niet sa čomu čudovať. Problémov praxe je totiž oveľa viac a sami sa môžu nechtiac dostať do právnych problémov.

V piatok 22. októbra rezort zdravotníctva pod vedením Vladimíra Lengvarského vyšiel so správou, kde uvádza, že pri preukazovaní sa covid pasmi nejde o zdravotnú dokumentáciu. V tomto prípade vraj platí zákonom stanovená výnimka podľa § 102al ods. 2 zákona 578/2004 Z. z. (o poskytovateľoch zdravotnej starostlivosti, zdravotníckych pracovníkoch, stavovských organizáciách v zdravotníctve).

„Preto sa výsledky antigénových testov a PCR testov nestávajú súčasťou zdravotnej dokumentácie osoby,“ uvádza rezort. Paradoxne tam nespomína očkovanie.

Právny štát neohýba, dodržiava zákony

Hovorí sa, dôveruj, ale preveruj, najmä pokiaľ ide o tvrdenia štátnych rezortov. Jedinou odpoveďou na rôzne problémy praxe dáva platná legislatíva a jej dodržiavanie. TREND si teda vyhľadal zákon v aktuálnom znení na portáli právnych predpisov Slovlex, rovnako aj na ďalších právnych portáloch s novelami zákonov.

V uvedenom paragrafe 102al sa uvádza, že išlo o prechodné ustanovenie počas trvania krízovej situácie. V odseku 2 sa spomína poskytovanie zdravotnej starostlivosti pre držiteľov povolenia na prevádzkovanie mobilného odberového miesta, či ďalej na poskytovateľov a zdravotníckych pracovníkov počas krízovej situácie práve ohľadom vedenia zdravotnej dokumentácie.

Európske covid pasy a právny stav

Rezort zdravotníctva si pomáha aj európskou legislatívou, konkrétne článkom 2 Nariadenia Európskeho parlamentu a Rady (EÚ) 2021/953 zo 14. júna  2021.

„Preukazy obsahujú iba obmedzený súbor nevyhnutných informácií a pri overovaní sa kontroluje len platnosť a pravosť preukazu overením toho, kto preukaz vydal a podpísal. Deväťmiestny alfanumerický kód je automaticky vygenerovaný a pridelený systémom, z čoho tiež vyplýva, že nie je súčasťou zdravotnej dokumentácie,“ spresňuje Zuzana Eliášová, hovorkyňa rezortu.

Pri záujme o  antigénové či PCR testovanie, ale aj pri  očkovaní,  ľudia v podkladoch  uvádzajú informácie o tom, v ktorej sú zdravotnej poisťovni.  Covid preukaz možno štandardne nájsť aj  v mobilnej aplikácii uvedených poisťovní. Rovnako uvedené dáta vedie aj Národné centrum zdravotníckych informácií.   V každom prípade sa všetci musia riadiť aj všeobecným nariadením EÚ o ochrane osobných údajov, tzv. GDRP.

To rieši aj problematiku spracúvania osobných údajov, vrátane údajov zo zdravotnej dokumentácie. Kontrola údajov o zdravotnom stave fyzickej osoby celkom iste patrí pod pojem „spracúvanie“ osobných údajov, definovaných v článku 4 druhý bod tohto nariadenia, konštatuje pre TREND Branislav Fridrich z bratislavskej advokátskej kancelárie Fridrich Lawyers.

Striktné pravidlá nemožno obchádzať

Takéto spracúvanie dát musí byť v každom prípade zákonné. Článok 6 ods. 1 GDPR podľa B. Fridricha určuje, že aspoň jeden zo šiestich bodov treba dodržať. Teda, treba mať buď súhlas osoby, ide o plnenie zmluvy, zákonnú povinnosť prevádzkovateľa, prípadne o ochranu životne dôležitých záujmov fyzickej osoby.

Alebo musí ísť o úlohu vo verejnom záujme, alebo pri výkone verejnej moci zverenej prevádzkovateľovi, či o prípad, keď oprávnené záujmy sledované prevádzkovateľom prevažujú nad záujmami či základnými právami a slobodami fyzickej osoby.

„Z týchto prípadov je možné využiť iba zákonnú povinnosť prevádzkovateľa, ak sa mu táto zverí, pri ktorej je nevyhnutné kontrolovať údaje o zdravotnom stave fyzickej osoby. Podľa článku 9 ods. 1 GDPR je zakázané spracovávať údaje o zdravotnom stave. Existuje ale desať výnimiek z tohto zákazu,“ hovorí B. Fridrich pre TREND. 

Z nich možno použiť iba písmeno i), podľa ktorého je zákaz spracovávať údaje o zdravotnom stave (osobnom údaji) neplatí, ak je ich spracúvanie nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia.

„Je teda zrejmé, že pri spracúvaní údajov o zdravotnom stave nebude postačovať zakotvenie tejto povinnosti v právnom predpise pre prevádzkovateľa, aby mohol získavať údaje o očkovaní či testovaní. Bude nutné prijať celý komplex právnej úpravy, ktorá bude spĺňať podmienky článku 9 ods. 2 písm. i) GDPR,“ dodáva advokát z Fridrich Lawyers.  

Legislatíva dáva mnoho otáznikov

So spracovávaním osobných údajov vo verejnom záujme sa v zmysle GDPR stotožňuje aj Juraj Bizoň z kancelárie Bizoň & Partners. 

„Aktuálne dáva oprávnenie prevádzkovateľom na „kontrolu“ režimu OTP (očkovaný, testovaný, prekonaný covid) zákon o ochrane, podpore a rozvoji verejného zdravia č. 355/2007 Z. z.,“ objasňuje J. Bizoň pre TREND. Podľa jeho právneho názoru sú uvedené potvrdenia súčasťou zdravotnej dokumentácie, ktorá patrí výlučne do rúk lekára a zdravotníckych zariadení.

Ako je teda s aktuálnou legislatívou? Od 28. júla 2021 platí paragraf 48 ods. 4 písm. z) uvedeného zákona. Ním ÚVZ dočasne podmienil vstup do prevádzok preukazovaním sa covid pasom. To však bolo napadnuté na Ústavnom súde (ÚS SR).

„Ak by ten rozhodol, že toto ustanovenie nie je v rozpore s článkom 12 Ústavy, musia sa návštevníci skutočne preukázať testom, covid pasom či potvrdením o prekonaní ochorenia. Z aktuálneho znenia zákona o ochrane verejného zdravia majú prevádzkovatelia právo to kontrolovať, čo považujem za rozpor s ústavou,“ dodáva J. Bizoň.

Následne vyhláška ÚVZ č. 253/2021 nariadila prevádzkovateľom požadovať od osoby vstupujúcej do vnútorných alebo vonkajších priestorov predloženie príslušného dokladu.

„Ani jeden z týchto dokumentov však neurčuje vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby, najmä profesijné tajomstvo. Z tohto dôvodu súčasná právna úprava vyžadovania dokladov o očkovaní, testovaní či prekonaní covidu-19 prevádzkovateľmi odporuje článku 9 ods. 2 písm. i) GDPR,“ uvádza B. Fridrich.

Celá situácia však vychádza z „dobrovoľnosti". Je teda na návštevníkovi reštaurácie, či tam pôjde, musí si byť však vedomý, že podmienkou je preukázať sa potvrdením o OTP, poznamenáva J. Bizoň. „Ak tak nechce urobiť, jednoducho ju nenavštívi. Prevažuje tu verejný záujem nad zásahom do ľudských práv. Podstatný bude súlad s článkom 13 ústavy, zatiaľ však právny základ v zákone o ochrane zdravia máme. Uvidíme, ako sa s tým vysporiada ÚS SR.“

Sporné využívanie aplikácie OverPass

Osobné údaje týkajúce sa zdravia spadajú nepochybne do osobitnej kategórie osobných údajov a sú tzv. citlivými údajmi, na ktoré sa vzťahuje prísnejší zákonný režim, uvádza pre TREND Štepán Štarha, partner advokátskej kancelárie Havel & Partners. Otázka, či tvoria alebo netvoria súčasť zdravotnej dokumentácie danej osoby, v tejto súvislosti podľa neho nezohráva zásadnú úlohu.

Na základe októbrovej vyhlášky ÚVZ SR č. 253/2021 majú prevádzkovatelia reštaurácii, obchodov, hotelov či iných prevádzok a zariadení, právo vyžadovať tzv. covid passy.

„Majú právo do nich nahliadnuť, čo nemusí byť považované za spracovávanie osobných údajov. Ak by si ale prevádzkovateľ robil odpisy, žiadal doloženie iného preukazujúceho dokladu, napríklad občiansky preukaz, alebo by dokument fotil, mohlo by dôjsť k spracovávaniu osobných údajov, na ktoré nemá oprávnenie,“ dodáva Š. Štarha pre TREND.

Osobitným prípadom je overovanie údajov z covid pasu cez štátnu aplikáciu  OverPass. „Pri jej používaní dochádza k spracúvaniu osobných údajov zákazníkov, a to minimálne vo forme vytvorenia dočasnej kópie jeho údajov v zariadení prevádzkovateľa,“ spresňuje Š. Štarha.

Vyhláška ÚVZ však na to prevádzkovateľa neoprávňuje, čím sa tento dostáva do paradoxnej situácie. „Použitie aplikácie OverPass prevádzkovateľom na kontrolu zákazníkov môže byť vyhodnotené, že ide nad rámec stanovený vyhláškou. Teda ten môže čeliť prípadným konaniam pred Úradom na ochranu osobných údajov,“ dodáva Š. Štarha.

Najbezpečnejším spôsobom, ako si splniť povinnosť kontrolovať  a umožniť vstup do prevádzky len vyhradenej skupine zákazníkov (plne očkovaný, OTP, základ) je nahliadať do dokumentov rovno pri vstupe do prevádzky bez akejkoľvek ďalšej manipulácie s týmito údajmi.

Úrad na ochranu osobných údajov slovami hovorkyne Ivany Draškovič už pred dvomi mesiacmi tvrdil, že obdržal viaceré podnety ohľadom covid passov. „Všetko je vo fáze obstarávania podkladov,“ uviedla pre TREND, bez posunu v uvedených prípadoch.