E-learning – Otvorené dáta v samospráve

Iný účel spracovania OÚ

V čase korona krízy nakupovala mesto rúška pre seniorov, dokonca im to chceli priniesť domov  – je v poriadku, že použili databázy vedené kvôli inému účelu na takýto účel?

Uvedenú otázku rieši článok 6 ods. 4 nariadenia GDPR. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:

1. a) akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;
2. b) okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;
3. c) povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa článku 9 alebo osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa článku 10;
4. d) možné následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby;
5. e) existenciu primeraných záruk, ktoré môžu zahŕňať šifrovanie alebo pseudonymizáciu.

Na základe takéhoto testu prepojiteľnosti možno spracúvať údaje aj na iný účel ako boli získané. Obce a mestá by mali vedieť preukázať, že takéto posúdenie vykonali.

Interné štatistiky nad dátami len pre účely mesta

Môžu obce a mestá spracovávať osobné údaje, aby získali analýzy, štatistiky, napríklad potreby sociálnych služieb?

Aj takéto spracovanie podlieha povinnostiam podľa GDPR a je potrebné dodržať viaceré povinnosti.

Zverejňovanie informácií nad rámec zákona

Mestá majú konať len to, čo im ukladá zákon. V tomto zmysle je podľa názoru mesta v rozpore zverejňovať informácie a dáta nad rámec zákona. Mesto porušuje zákon a robí niečo čo mu zákon priamo neukladá.

Vo vzťahu k verejnosti týchto registrov Infozákon ukladá ich prevádzkovateľom povinnosť zverejnenie na voľne prístupnej internetovej stránke (t. j. bez akýchkoľvek obmedzení prístupu) a bezodplatne.

Infozákon ustanovuje, že zverejnenie verejného registra alebo evidencie na internete nepredstavuje porušenie predpisov o ochrane osobných údajov.  Toto ustanovenia však bolo prijaté ešte pred prijatím nariadenia GDPR.  Nakoľko nariadenie GDPR má aplikačnú prednosť pred ustanoveniami právnych predpisov členských štátov, je nutné sa zaoberať otázkou, či výnimka z ochrany osobných údajov v § 6 ods. 3 Infozákona obstojí vo svetle nariadenia GDPR. Spracúvanie osobných údajov (čo zahŕňa aj ich zverejnenie) je zákonné, pokiaľ je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa.  Pokiaľ ide o obmedzenie účelu, minimalizáciu dát, nevyhnutnosť ako aj ďalšie požiadavky GDPR, týmto sa mal zaoberať zákonodarca keď ustanovil verejnosť registrov a evidencií. Nakoľko zákonodarca takýto príkaz na zverejnenie ustanovil do textu Infozákona (resp. danú normu po prijatí GDPR nezrušil), je možné prezumovať, že tieto podmienky sú splnené.

Nad rámec povinného zverejnenia údajov z verejných registrov a evidencií majú povinné osoby možnosť (avšak nie povinnosť) zverejniť akékoľvek ďalšie informácie.  Z dikcie príslušného ustanovenia plynie, že toto zákonné povolenie sa vzťahuje nie len na samotné orgány verejnej správy, ale aj na rôzne iné organizácie nimi zriadené (napr. rozpočtové a príspevkové organizácie, obchodné spoločnosti s majetkovou účasťou obce).

Kto je zodpovedný za to, aký výstup vznikne nad otvorenými dátami?

Ak mesto zverejní  otvorené dáta, ktoré správne vyhodnotí, že nie sú problémové z hľadiska GDPR napriek tomu že obsahujú osobný údaj. Ak autor aplikácie skombinuje tieto dáta do takého výstupu, ktorý v konečnom dôsledku zasahuje do ochrany súkromia jednotlivca, kto je zodpovedný za výsledok?

Vždy sa zodpovednosť vzťahuje na prevádzkovateľa, teda toho kto určuje účel a prostriedky spracovania. V prípade ďalšieho využitia je to už tretia osoba a nie obec alebo mesto.

Právo na aktuálnosť údajov

Častokrát sa s kvalitou otvorených dát rieši aj aktuálnosť a rovnako aj v zmysle GDPR má občan právo na aktuálne údaje. Ak samospráva zverejňuje napr. zoznam dlžníkov, kt. obsahuje aj mená, je problém ak zverejnený dataset nie je aktualizovaný a napr. osoba uvádzaná v registri už nie je dlžníkom?

Povinnosťou prevádzkovateľa je udržiavať spracúvané údaje aktuálne a teda prijať také opatrenia, ktoré odstránia neúplnosť, neaktuálnosť alebo inú vadu spracovávaných údajov.

Prah pri zverejňovaní dát o demografii

Kde je prah pri zverejňovaní dát o demografii na základe ulíc aby dáta neboli zneužité?

Definícia osobného údaju, teda vyhnúť sa spracovaniu osobných údajov, ak to nie je nevyhnutné.