Odlukom od 24. marta 2020. godine, Agencija za zaštitu ličnih podataka (“DPA“) u Bosni i Hercegovini zabranila je državnim i lokalnim vlastima u zemlji da objavljuju podatke lica koja su pozitivna na koronavirus. Agencija je takođe zabranila javno objavljivanje podataka o izolovanim i samoizolovanim licima koja se pridržavaju izrečenih mera. Informacije o onima koji krše mere izolacije mogu se zakonito objavljivati.
Odluka DPA-a zasniva se na negativnoj oceni koju je Agencija dala u odnosu na pravičnost i zakonitost obrade. Agencija nije eksplicitno ispitivala svrhu i proporcionalnost obrade.
Nije uobičajeno da se telo koje odlučuje u predmetu o zaštiti podataka o ličnosti snažno oslanja na analizu vezanu za pravičnost obrade. Nadzorna tela za zaštitu podataka i sudovi po pravilu detaljno analiziraju ostale principe koji se odnose na obradu podataka, a naročito princip određenosti i legitimnosti svrhe, zakonitosti (postojanja pravnog osnova za obradu) i proporcionalnosti (adekvatnosti, relevantnosti, i ograničenog obima podataka). Taj standardni metod zahteva analitičku strogost i umanjuje rizik subjektivnosti ili proizvoljnosti u proceni. U svakom slučaju, nije očigledno da “pravičnost” ima zasebnu sadržinu koja ne bi već bila “pokrivena” drugim, konkretnijim, principima obrade podataka. Ako su zadovoljeni svi drugi principi, ne deluje moguće da bi obrada bila “nepravična”.
Pravičnost i zakonitost obrade
Agencija se u svojoj analizi pozvala na član 4, stav 1, tačku (a) bosanskog Zakona o zaštiti ličnih podataka (2006.) (“Zakon“). Ta odredba obavezuje rukovaoce podataka da podatke o ličnosti obrađuju na pravičan i zakonit način.
Agencija smatra da objavljivanje podataka svih izolovanih pojedinaca, uključujući one koji ne krše bilo kakve propise, nije pravično. Prema Agenciji, otkrivanje podataka o osobama koje poštuju zakon može dovesti do njihove neopravdane stigmatizacije i čak izazvati nasilje ili napade na njihov život.
Što se tiče principa zakonitosti, Agencija je zaključila da se obrada spornih podataka ne može opravdati javnim interesom. Ne postoje drugi potencijalni osnovi na koje bi se rukovaoci podataka mogli verodostojno osloniti kao pravni osnov za obradu, tako da ih Agencija nije ispitivala.
Agencija je utvrdila da podaci o zdravstvenom stanju spadaju u posebne kategorije ličnih podataka. Posebne kategorije podataka mogu se, u skladu sa članom 9 (2), tačka (g) Zakona, obrađivati ako to zahteva poseban javni interes. Agencija je u Rešenju utvrdila da se obrada podatka o tome da je lice pozitivno na koronavirus ne može, pod datim okolnostima, opravdati javnim interesom.
Što se tiče podataka o izolovanim pojedincima, Agencija nije zauzimala stav o tome da li su takvi podaci osetljivi ili ne. Ipak, Agencija smatra da javni interes ne može služiti kao pravni osnov ni za obradu tih podataka. To je zato što objavljivanje takvih podataka može oslabiti poverenje građana u sistem zdravstvene zaštite i obeshrabriti one koji su potencijalno zaraženi da zatraže lekarsku pomoć, što je protivno javnom interesu.
(U slučaju da se podaci osobe u izolaciji ne smatraju osetljivim podacima, Agencija bi mogla navesti da se obrada ne može zasnivati na članu 6, tačka (d) Zakona, koji prepoznaje javni interes kao jedan od opšte primenljivih zakonskih osnova za obradu podataka o ličnosti).
Nedostajuća analiza svrhe i proporcionalnosti obrade
Agencija se nije eksplicitno bavila svrhom i proporcionalnošću obrade. Agencija se nije bavila ciljevima koje su relevantni organi nameravali da ostvare objavljivanjem podataka o zaraženim i izolovanim licima. Umesto toga, Agencija je u saopštenju za javnost od 23. marta 2020. godine napisala da ne raspolaže informacijama o svrsi za objavu podataka svih lica koja se nalaze u izolaciji i samoizolaciji.
Budući da analiza proporcionalnosti zahteva da se identifikuje svrha obrade, izostanak analize o svrsi iz odluke Agencije značio je i da se Agencija ne može baviti proporcionalnošću – svakako ne na strukturiran način.
S druge strane, Agencija se na izvestan način jeste dotakla proporcionalnosti obrade, kroz analizu pravičnosti i zakonitosti obrade. Pozivajući se na član 4, stav 1, tačku (a) Zakona, odredbu koja utvrđuje principe pravičnosti i zakonitosti, Agencija je navela da princip pravičnosti i zakonitosti obrade “podrazumeva … i da je obrada neophodna za ostvarivanje svrhe koja se želi postići”. Ovo možda nije najprecizniji prikaz Zakona, jer Zakon – kao i relevantni propisi EU (ranije Direktiva 95/46 / EZ i sada GDPR) – sadrži (u članu 4 (1), tački (c)) princip proporcionalnosti kao samostalni princip obrade podataka, različit od principa pravičnosti i zakonitosti.
Da je Agencija analizirala svrhu i proporcionalnost obrade kao samostalne principe, morala bi identifikovati konkretan cilj koji je obrada trebalo da postigne, a zatim bi ga razmotrila u odnosu na, između ostalog: broj lica za koje je verovatno da će podaci o njima biti objavljeni; verovatnost da se ostvari korist od obrade; potencijalne negativne efekte (uključujući efekte na poverenje u zdravstveni sistem, na koje se Agencija pozabavila u analizi javnog interesa kao mogućeg osnova za zakonitost obrade); i dostupnost alternativnih, manje intruzivnih, mera za postizanje svrhe obrade.
